跟上IT发展步伐，有效地教育用户以及与业务发展需求同步，是成为网络安全专业人士所面临的具挑战的任务。
与任何网络安全专业人士交谈，你都不可避免地会听到他们谈论自己所面临的挑战。那么近他们的大压力又是出自何处呢?我想答案应该是：跟上IT创新的安全需求步伐。
这是根据ESG和信息系统安全协会(ISSA)近发表的一篇题为《网络安全专家的生活和时代》的研究报告所得出的结论。以下是该报告的详细信息：
40%的受访者表示，网络安全职业生涯中具挑战的一个方面是跟上IT创新的安全需求步伐。因此，在创新业务需求的推动下，IT团队正忙于将工作负载转移到云端、部署物联网(IoT)设备或是编写新的移动应用程序。遗憾的是，网络安全团队往往缺乏适当的技术知识储备，却又必须要及时了解与业务流程变化相关的风险。很显然，这种情况就非常危险了。
业内人士认为，一方面，传统网络安全问题得到有效控制，另一方面，云平台、数据安全等新兴领域的安全问题不断凸显。
内部 TTP 愈趋复杂
经典内部人威胁行为涉及向个人电子邮箱或第三方邮箱地址发送文件、下载数据到可移动载体上，以及纸质文件，而且恶意内部人规避检测的手法越来越复杂了。意识到公司企业对内部人威胁的认知不断提升，有些恶意内部人也越来越惯于使用安全通信方法了，比如加密聊天服务和 DDW 论坛。如果缺乏已取得这些圈子准入权的老道分析师帮忙，公司企业几乎不可能监视此类通信渠道。
安全通信信道和 DDW 使用率增高本身就助推了内部威胁风险，因为这意味着作恶者可入手更高级的 TTP 和资源，更便于以有公司数据访问权的内部人身份实施系统攻击和数据渗漏操作。而且，加入恶意社区的公司雇员也将自己置入了被外部人员招募的风险之中。这里所说的外部人员就包括希望收买或胁迫内部人员数据的国家代理人，且此类人员占比呈上升趋势。
关注需要资源的地方
必须明确的是，大多数员工不是恶意的，不带来恶意内部人威胁风险。当然，有些员工会犯错，或者偶尔表现异常。事实上，新加入员工的网络行为也经常被自动化工具标记为可疑，因为这些新员工在游历公司网络时常会犯错。只有具备一定程度的上下文，标记出影响内部人员的外部因素，才可以知道该追踪什么。业务风险情报就提供此类上下文，令内部威胁管理更加有效，保护企业王国不受已持有大门钥匙的内部侵害。
39%的受访者表示，网络安全职业生涯中具挑战的一个方面是发现由组织内其他团队启动但没有进行安全监控的IT项目/计划(也就是所谓的 “影子IT”)。试想一下，当贵公司的营销主管宣称，“我们已经决定与专门从事客户分析的第三方分享敏感的。而且我们早在三个月前就已经启动这个项目了。” 这会是多么令人震惊而又担忧的场景。现在，首席信息安全官(CISO)必须弄清楚如何在事后合理地保护这些敏感数据，这也是相当紧迫的一项任务。
38%的受访者表示，网络安全职业生涯中具挑战的一个方面是试图让终用户了解网络安全风险，并让他们相应地改变自身不良上网行为。没错，大多数大型组织都会进行安全意识培训，但它大多数时间仅被视为一个 “对框打勾” 的练习，没有起到真正意义上的教育意义。要知道，人始终是安全链条中的一大薄弱环节，但大多数组织并没有将网络安全教育导向更深更远的地方，终导致工作环境变得更为脆弱，网络安全问题也更为严重。
37%的受访者表示，网络安全职业生涯中具挑战的一个方面是努力让企业业务部门更好地了解网络风险。关于这一问题有一个好消息和一个坏消息。好消息是，大多数企业已经部署了由Kenna Security、Rapid7、RiskLens、RiskSense 和 Tenable Networks 等供应商所提供的新型主动风险管理工具，可以实时监控和报告网络风险。这类技术将帮助CISO和业务主管制定数据驱动型和实时的风险缓解方案。坏消息是，还有很多公司仍将网络安全视为 “不可避免的灾祸”，因此无需更好地去了解网络风险。在这类组织中工作的网络安全专业人员应该通过持续不断地努力来解决这种工作压力。
36%的受访者表示，网络安全职业生涯中具挑战的一个方面是努力跟上不断增长的工作量。这里又要提到令人讨厌的网络安全技能短缺问题。当然，我们可以通过一些事情来改变这种局面——如技术集成、流程自动化以及托管服务等等。归根结底，网络安全人才短缺是一个社会问题，公共和私营部门必须通力合作来处理该问题。
-/gbadeeb/-
http://www.qdshtddzkj.com
