作者：柯善学
《Gartner规划指南》系列报告是GTP（Gartner技术专家）出版的最受期待和广泛阅读的研究报告。旨在帮助组织中的技术专家快速了解关键技术趋势，制定行动计划，评估架构选项。
之前已经介绍过规划指南的整体概述《2020年规划指南概述：构建数字化转型技能》。该系列规划指南共包含十个分报告，涵盖企业数字化转型的相关技术趋势。
其中主要有两份安全报告：一篇是本文介绍的《2020年规划指南：安全和风险管理》；另一篇是下回将介绍的《2020年规划指南：身份和访问管理》。
该系列研究报告原文非公开发布，请勿用于商业性用途。
Gartner建议：组织必须在坚实的安全基线基础上，继续推进其安全规划和安全架构计划。
笔者观点：Gartner的技术路线一贯具有前瞻性甚至超前性。考虑到国内安全基础尚有差距，建议在吸收Gartner先进理念时，仔细看清创新理念与现实基础之差距，注重前瞻性与回顾性兼顾，新探索和补基础兼顾，确保现实基础足够坚实，避免搭建“空中楼阁”。我们的基本观点参见 《美军网络安全 | 第7篇：JIE（联合信息环境）启示和综述》的启示部分。
注1（研究背景）：研究初衷为借鉴国外网络安全体系建设经验，找准国内网络安全基础的差距不足，形成可落地、工程化的安全规划和解决方案。研究不是我们的目的，我们的目的是指导落地。
注2（未来预告）：我们将基于美军JIE（联合信息环境）和Gartner等的安全体系建设经验，紧密结合国内实际情况，找准差距不足，推出面向国内十四五规划的企业级安全规划和解决方案考虑。敬请关注。
《Gartner规划指南》十大领域（分报告）
一、安全和风险管理趋势概述
长期以来，网络安全一直是组织关注的一个主要问题。安全团队发现，要跟上不断变化的威胁、风险、合规性、业务和IT环境是一项挑战。数据正被更多的地方、更多的业务用途以及数字业务生态系统中更多的合作伙伴所使用。应用程序和API正在扩展，以使更多的业务功能可访问，而云使电子邮件和内容共享等关键应用程序可供各种攻击者访问。除了数据泄露和勒索软件之外，滥用和欺诈也是一种日益严重的威胁。每种威胁对应于一个或多个安全实践，如图1所示，图中对威胁分析、工具选择、架构过程相关的安全控制进行了分类。
图1. 2020年安全和风险管理的规划考虑因素
客户处于许多不同的安全成熟度级别，这就是为什么2020年规划考虑涵盖了每个实践中的许多安全控制。每个实践都有基本卫生控制（如防火墙和合规管理）和更高级的选项，通常根据特定的风险和组织能力选择。
过去几年的安全问题都没有消失。而在未来几年中，由于数字业务生态系统（数字化）、IT和运营技术（OT）的进一步融合、物联网（IoT）的增加、第三方服务的更广泛采用，将继续带来更多的风险敞口。
组织必须在坚实的安全基线基础上，继续推进其安全规划和安全架构计划。拥有来自不同组织领域的成员和不同领域专业知识的团队，将有助于简化控制选择的分类、评估、决策过程。
最近的趋势表明，2020年新的或显著增强的领域包括：
■ 在安全策略和路线图中包括以数据为中心的安全架构（DCSA）方法的规划
■ 鉴于主要供应商的集成网络安全平台解决方案的出现，需增强安全架构
■ 零信任网络访问（ZTNA）
■ 增加新的或更新的安全技术类别
■ 安全编排、自动化和响应（SOAR）
■ 数据访问治理（DAG）
■ 扩展云安全平台
■ 云访问安全代理（CASB）
■ 云工作负载保护平台（CWPP）
■ 云安全态势管理（CSPM）
■ 在CASB和ZTNA环境中使用的远程浏览器隔离（RBI）
下面将按照图1中的六大类安全和风险管理趋势，进行描述。这些趋势将广泛影响许多行业、地区和规模的组织。企业关于六大类趋势的优先级设置，可参考后文“设置优先级”一节。
二、安全和风险管理趋势
1 全球合规和风险环境的重大变化，持续影响企业安全规划
根据Gartner的调查，安全性仍然是业务和IT领导者最关心的问题。这在一定程度上得益于能见度的提高：由于隐私问题、勒索软件等破坏性攻击，以及网络安全对地缘政治的日益显著影响，网络安全在媒体上的曝光度很高。提高业务可见性，以及参与合规和规划，仍然是成功的首要条件。
隐私和数据泄露是首要问题。分布式拒绝服务（DDoS）、敲诈勒索、欺诈攻击仍然普遍存在。
一个关键挑战是增加了暴露面，如迁移到基于云的服务。因为许多传统的安全控制不包含这些新的环境，所以组织很容易错误地使用或配置它们，或者完全忽略它们的存在。这种暴露会导致毁灭性的勒索软件攻击，通常是通过难以检测的慢速攻击来完成的，这种攻击会给组织造成重大损失。
而一些更新的技术在很大程度上导致未知的网络安全领域，如在业务流程和应用中更多地使用机器人流程自动化（RPA），以及人工智能（AI）和机器学习（ML）。
此外，安全团队知道他们需要充当业务推动者，但在项目开始时仍然常常被排除在外。面对项目时间的限制，安全团队（尤其是资源很少的安全团队）发现遵循合规和审计检查表，比花时间进行有效的风险分析和控制选择更加容易。第三方安全评估（通常由合规要求驱动）和第三方风险管理，被证明特别耗时。但是，即使只是创建第三方服务使用的可见性，对安全团队来说也是一个挑战。延续过去几年的趋势，仍然难以招聘和留住安全人员。
1）选择全面、务实的企业网络安全风险评估方法
确保风险评估与业务目标相一致。提前花时间用业务语言建立和记录评估目标，并围绕这些目标确定评估活动的优先级。评估不仅必须包括与数据泄露和隐私相关的风险，还必须考虑到其他安全目标，如图2关于网络安全信任和弹性的CIA-PSR（保密性、完整性、可用性+隐私性、安全性、可靠性）模型。
图2.Gartner网络安全信任与弹性的CIA-PSR模型
必须根据更大的企业风险框架来看待网络安全风险，以便了解更广泛的权衡和影响。进行组合风险评估，以质询不再与威胁和攻击或IT环境匹配的当前安全架构和模式，并对其进行替换或弃用。如建议使用多因素身份认证和用户监视而非口令。但还不能放弃诸如口令轮换这类无效但已经确立的合规控制，以避免审计和监管方面的挑战。“最佳实践”仍需要一段时间才能改变。
2）划分高暴露风险区域，实施基本安全卫生
执行深入的风险和差距评估是一个耗时的过程，并且不能总是导致良好的优先级排序。要特别注意高度公开的用户、应用程序、系统和数据，如基于云的电子邮件，以确保轻松执行的攻击得到缓解。对高暴露风险进行分类的同时，通过一组控制类型（如漏洞管理和恶意软件保护）实现基本安全卫生，这些控制类型提供了几乎任何组织所期望的基线防御。安全卫生还包括通过最大化原生安全控制的有效性和增强现有的附加安全工具，来优化现有投资。
高暴露风险分类和基本安全卫生的良好做法包括：
■建立一个可靠的资产管理流程；了解你必须保护什么以及谁对其负责，是许多安全控制的关键要素。
■移除用户对端点的本地管理权限，并保护其对最敏感的业务应用程序（包括电子邮件）的访问不受账户泄露的影响。
■为所有特权用户（如数据库管理员（DBA）和云基础设施管理员）实施强身份验证，并记录他们的活动。
■优化端点保护平台（EPP）、安全web网关（SWG）、安全电子邮件网关（SEG）和其他正在使用的技术中的网络钓鱼和恶意软件保护选项。
2 安全监控和响应将继续依赖通过内部技能和托管服务提供的自动化和分析
增加检测和响应能力的使用仍然变得越来越重要，因为攻击者正在寻找突破预防性控制中的缝隙和途径。安全监控技术经历了巨大的发展和采用，特别是安全信息和事件管理（SIEM）仍然是监控和响应能力的核心组成部分。与许多其他收集和分析数据的技术一样，安全监控的发展驱动力是“安全分析”，包括使用人工智能技术，主要是机器学习。我们的目标是超越静态的规则和有限的关联性（这些关联性耗时且难以创建和管理），转向更多的数据源、机器学习、高级可视化。
然而，安全监控技术提供了太多的选择，而收集、存储、分析所有安全数据的单一解决方案尚未出现。SIEM通常是一个主要的监控中心，特别是因为这些解决方案已经扩展到包括新功能，如用户和实体行为分析（UEBA）。监测方法也随之激增，甚至到了多种监控解决方案本质上涵盖同一问题但又无法相互替代的地步。不太可能从单一解决方案（更不用说单一控制台）管理和查看监控的所有方面。
此外，各组织仍在为安全监控的人员配备和技能而斗争。特别是对于像SIEM这样的传统解决方案，安全监控是时间密集型的，不仅在实际运行监控中，而且在内容维护（如相关规则）中。即使在安全监控高度自动化的情况下，在审查事件和报告时的人员配置也是一个问题。在高级安全行动中，需要更多的工作人员来执行安全分析，如寻找威胁和威胁情报行动。但拥有这些更专业技能的人尤其难找，这使得安全监控人员的规模化成为一项重大挑战。
1）开发和增强事件响应和安全监控能力
从过程角度，执行持续事件响应（IR）计划活动。为事件响应做准备，通常是一个组织可以采取的更具成本效益的安全措施之一，因为精心策划的事件响应可以减少事件影响和成本。使用流程、工具、人员的正确组合，组织可以开始将其事件响应成熟度，从使用很少工具的即席实践/临场发挥，提高到使用专用团队的持续事件响应。
在技术方面，从差距评估开始（如对照图3所示模型）。确保收集和报告常见事件类型，并覆盖关键和暴露资产。这些事件包括关键系统和应用程序的登录和访问活动、防病毒（AV）警报、大型出站数据传输和远程访问异常。一定要评估来自现有安全产品的现成的威胁情报数据。然后，实现一个用例驱动的方法来管理检测内容和规则。其他技术，如端点检测和响应（EDR）和网络流量分析（NTA）工具，对于更成熟和高威胁的环境来说是必要的。监控是耗时的，它需要特定的安全技能，编排和自动化（如使用SOAR工具）可以减少运营负担。
图3.基本检测和响应参考架构
2）增加对系统和应用程序中用户活动和访问的监控
攻击者必须执行特权操作或访问资源才能实现其目标，例如窃取数据库或禁用应用程序。例如，DDoS必须访问网络或工作负载资源才能使其过载；勒索软件虽然不是数据窃取攻击，但也必须访问文件以执行加密；业务电子邮件的失陷需要访问用户的邮箱。理论上，所有的攻击，包括内部攻击（尽管这类攻击不必跨越边界或使用恶意软件），都可以通过监视此类活动而被捕获。用户活动监控尽管不是最早的攻击检测方法，也不是最容易实现和管理的方法，但即便只是用于事后取证分析，也是非常有价值的。
对于基础设施，记录和监视特权活动是关键，特别是当计算、存储、网络、数据库、应用程序和安全管理之间的界限变得模糊时。在应用程序级别，重要的是强调监视而不是严格的访问控制，因为即使是授权的访问也会被滥用，如医护人员可能非法获取医疗记录。监测必须能够对事件进行报告和事后调查，这些功能为以后添加实时分析、告警、强制执行铺平了道路。IAM、CASB、UEBA、零信任网络访问（ZTNA）解决方案是覆盖大量用户访问监控的良好起点。欺骗技术也可以用来弥补传统工具覆盖范围的空白。
3 安全架构将受到集成化安全平台方法的推动
许多安全团队发现很难执行差距评估和构建安全路线图。他们最大的挑战之一是，越来越难以清楚了解产品具有哪些安全特性和适用性。有些是提供独特功能的“小部件”，而另一些则是更广泛的“平台”。在这两种情况下，困难在于发现它们应该用在哪里以及如何组合在一起，以便在正确的地方提供正确的功能，如玩俄罗斯方块游戏。
一个关键是确定平台能力和最佳实践能力，如何作为安全架构过程的一部分结合在一起（参见图4）。产品特性的“形状（棱角）”不可避免地会导致间隙和重叠，这些需要及早识别，以便妥善处理。
图4.安全架构的输入
安全架构隐含在各种控制框架和“顶级”列表中，如CSF框架和CIS控制，但它们没有为安全团队提供足够的结构来进行详细的路线图规划。部分原因是它们并不总是反映业务、IT、安全控制的发展。使用安全架构方法论，如SABSA，帮助组织捕获业务安全目标，并使用它们作为建立需求并创建系统工程架构的基础。这些映射到一些企业安全架构框架，但并非所有组织都使用它们或具有企业架构功能。已经使用安全架构或控制框架的组织，可能希望或需要用附加的安全架构模型和流程来补充它们，以便缩小差距并与业务需求保持一致。
关于安全架构的重要性和基本思路，可参见《网络安全架构 | 通过安全架构提升安全性》。
1）创建安全能力模型作为安全架构基础
任何安全架构的起点都是业务需求，通过风险评估，业务需求驱动了对安全能力的需求。使用安全能力作为技术架构的起点。从现有模型中进行安全控制分类，例如NIST网络安全框架（CSF）的识别、保护、检测、响应、恢复。对资产分类或分层模型（如物理模型、网络模型、存储库模型、应用程序模型、数据模型）执行同样的操作，并确保也考虑到资产的多样性，包括用户端点、服务器端点、物联网设备、云与数据中心。
2）使用威胁和攻击模型来改进差距评估和控制选择
使用威胁和攻击作为安全架构中的另一个维度。建立一个可能的攻击列表，优先选择抵抗力最小的攻击路径，并确定哪些攻击路径会产生相同的结果。这确保了安全架构和控制设计与各种类型资产可能面临的威胁和攻击相匹配。不幸的是，不存在统一的威胁和攻击模型，组织应该采用现有的攻击模型，例如：
■ Gartner攻击链
■ MITRE对手战术、技术和常识（ATT&CK）
■ 洛克希德马丁公司网络杀伤链
■ 其他Gartner覆盖范围中定义的更具体的模型
3）在集成化安全方案和最佳实践方案之间进行选择
大型安全供应商和云供应商正在构建集成化网络安全解决方案，旨在支持第三方集成的单一平台上，实现单一控制台、集成的机器学习、编排和自动化。这些平台是随着时间的推移而构建的，随着客户需求的出现，它们会随着新类型的功能和集成而扩展。组织应该看看现有的供应商，创建从供应商平台能力到组织自己的安全架构和路线图的映射。
然而，供应商并没有提供完整的安全产品组合，一个“真正的”单一集成网络安全平台很可能不会很快出现。大型云供应商提供与安全平台供应商重叠的功能，这使选择变得复杂。即使一个集成化平台提供了一个安全功能，它可能也不足以实现一个特定的用例。因此，组织需要评估集成化平台方法和最佳实践方法，以及多平台方法。
4 容器、DevSecOps、混合云和多云将改变基础设施安全架构和管理
特权操作的安全性和IT基础设施的权限方面的弱点，易导致破坏性的安全事件。例如，应用程序的资源权限、角色和凭据的错误配置，已被用来攻陷和访问数据存储中的敏感客户信息；不安全的云管理员凭据，已用于擦除整个组织的系统和数据。了解现有的安全态势并在云中拥有所有资产的可见性，是能够抵御这些攻击的关键。
基本安全卫生问题，如补丁丢失和配置错误，仍然在攻击中扮演着重要角色。转向虚拟化、容器和云技术，有助于简化和自动化基础设施安全实践。但它增加了复杂性，也引入了新的错误机会，因为安全和IT团队并不总是立即了解新的暴露和实现控制的新方法。
安全性应侧重于解决基础设施中的横向攻击者移动，并覆盖发生在应用层的攻击。此外，由于以下因素，什么是和什么不是基础设施安全的概念也在改变：
■DevOps：越来越多的组织采用DevOps实践，包括“基础设施即代码”（IaC）或“基础设施自动化”方法，这使得“基础设施”的概念比以前更加灵活。
■ 新技术：软件和云供应商正在提供新产品，创造更多类型的存储、网络、计算。如无服务器计算技术，它抽象了基础设施控制，并且在安全特性方面没有相同的成熟度。
扩展现有的场内安全工具是可能的，但通常是错误的。这些工具不是为云实现而设计的，可能无法正常工作，也可能无法专注于正确的攻击向量或攻击类型。许多更为成熟的虚拟化基础设施技术，包括来自领先的云IaaS供应商的技术，已拥有的安全能力被认为相当于或优于一般组织的安全能力。
管理，特别是与监控和执行特权操作有关的管理，仍然是许多基础设施技术的薄弱环节。IAM和安全领域的供应商，如特权访问管理（PAM）供应商和CASB，一直在努力改善这种情况。基础设施和应用程序技术越来越多地提供安全性和非安全性的管理和监视API，从而允许与第三方技术进行更有效和无缝的集成。
DevOps和DevSecOps模糊了基础设施和应用程序之间的界限，数据安全可以部分在基础设施层实现。安全团队将发现，基础设施安全的趋势和考虑因素，与应用程序和数据安全的趋势和考虑因素密切相关。尤其是基础设施即代码，会带来新的风险和机遇。运行时应用程序安全控制（成为工作负载或网络基础设施的一部分）以及某些形式的静态数据加密就是很好的例子。
1）拥抱DevSecOps以实现跨基础设施的安全标准化和自动化
为整体的DevSecOps方法，调整安全和DevOps实践。安全应该成为流程和自动化的一个组成部分，反过来它也应该充分利用这些流程和自动化的优势。除了支持更灵活的环境之外，这种方法还确保了安全性的一致性和可重复性。它还确保关注构建模块（如工作流定义、脚本、配方和镜像），而不是每个单个操作和实例。了解如何支持和加强虚拟化、云、容器、无服务器、数据库环境等多种生态系统中的安全性是关键。
并非所有的技术堆栈都具有足够的内置安全性。在这些情况下，组织将需要通过第三方组件（如容器安全产品、CWPP、运行时应用程序自保护（RASP）技术）为它们提供安全性。在DevOps环境中，组织还需要将其脆弱性评估实践转移到不只是在上线后扫描工作负载，如在构建期间或实例化之前扫描容器映像是一个很好的实践。他们需要将安全测试紧密地集成到开发管道中。安全API使这种检测变得更容易，组织应该要求供应商提供这些API。
2）使网络、工作负载、数据安全现代化，并采用原生基础设施安全能力
计划以“安全系统的网络”的方式保护各种工作负载。在这种方法中，存在各种网络安全边界，一些用于策略执行，有些只是为了可视性。通过微分段概念，这些边界可能增长以适应负载，也可能缩小到主机级别或更小。需要SDN方法来实现私有云环境中的敏捷性。外部网络边界需要变得更加动态，传统的非军事区（DMZ）概念慢慢消失。特别是随着越来越多的应用程序变得基于API和云交付，网络边界的基本过滤应该与基于云的安全服务相结合，如DDoS保护、bot缓解、WAF和iPaaS。
采用内生安全措施，而非依赖那些为没有这些功能的平台设计的遗留技术。在IaaS中，安全组提供基本的网络分隔和过滤方案，在某些情况下，随着添加网络标记以根据应用程序或应用程序组进行控制和限制，安全组变得更高级。当需要增加可见性或增强安全性时，应评估微分段技术。使用或集成监控/可见性机制的能力是关键。从安全组开始，根据合规性要求或风险评估的结果，增加微分级。
对于工作负载和数据安全，将存储或数据库的内置或附加加密作为基线合规性控制，将CWPP、容器安全甚至RASP作为工作负载安全附加项。
3）强调对特权帐户和操作的可见性、监视、管理
考察系统和应用程序帐户的选择，对隔离工作负载及其数据的能力的影响。在极端情况下，组织应该使用完全独立的管理域，通过在云服务上拥有独立的主帐户来运行单个应用程序。但更多情况下，应选择帐户的数量、特定能力和权限，以补充基于工作负载和网络的分离。
补偿因整合管理角色带来的风险，特别是在云和虚拟化环境中。特权操作安全不仅对于防范内部威胁非常重要，而且对于使用失陷内部人员访问（凭证）的外部威胁也非常重要。对特权帐户和操作使用强身份认证和授权，包括凭据和秘密的高级管理。自适应访问控制，特别是如果它包括用户端点和行为分析，则能提供额外的保护，防止误用和凭证被盗。
记录和监视特权活动也是关键，因为计算、存储、网络、数据库、应用程序和安全管理之间的界限常常模糊。特权用户管理、身份分析、CASB、UEBA工具都在提供用户活动的持续监控和分析方面发挥作用。
5 生态环境将巩固以数据为中心的安全架构和应用程序安全的需求
无论是在组织内部还是外部，数据都在不断增长，组织收集数据并在最初承担起保护数据的责任。与此同时，管理这些数据的组织所承担的监管义务，如保护个人隐私的法规，正在成倍增加。在数据仓库、大数据、高级分析管道中保护和实现隐私合规性，是许多客户日益关注的问题。
长期以来，应用程序一直是主要的攻击向量。传统的安全控制，如防火墙、IDS和入侵防御系统（IPS）无法全面解决应用程序安全问题。导致漏洞（如SQL注入）的编码错误，仍然是常见的事件源，尤其是在现成软件或开放源代码组件（包括通过嵌套的组件依赖关系）中暴露为众所周知的漏洞时。设计上的弱点，例如无限制的身份验证尝试、缺少帐户接管检测、缺乏对自动攻击的保护，也越来越多地被用来滥用应用程序和API中的业务逻辑。移动、物联网、PaaS、容器、微服务的日益广泛采用，给应用程序安全在何处及如何实现带来了新的挑战。
1）为访问应用程序和数据，创建发现、可见性和控制
发现和可见性是关键，因为知道哪些数据在哪里以及深入了解用户和计算机如何访问各种应用程序和数据源越来越重要。
组织不仅要了解如何使用授权的应用程序和数据，还要了解正在使用哪些未经批准的应用程序（也称为“影子IT”）和数据位置。有几种技术有助于创建这样的可见性，包括数据库审计和保护（DAP）、数据分类工具、文件分析工具、DLP和CASB，以及非安全工具，如数据管理和企业内容管理。然后，这种可见性允许组织将数据驻留和使用与其定义的策略相匹配，从而选择一条前进路线：允许、阻止或通过其他控制来降低移动和使用的风险。然而，在没有正式或半正式数据安全计划的情况下，组织在实施此类控制时应小心，因为他们冒险选择的技术可能会对业务产生负面影响或无法满足安全性或用户期望。
应强调应用程序上下文中的用户活动、事务和数据访问控制和监视。自适应身份验证和授权以及强大的监视和审计功能，是确保任何敏感和/或关键应用程序安全的关键。IAM技术（包括身份分析）和安全技术（如CASB、UEBA和DDM）能够有效地填补云应用程序中的缝隙，实现内部应用程序的外部化能力，并保护对数据存储的访问。至少，要确保日志记录和监视包括特权用户和对关键或敏感数据的访问。
使用一个以数据为中心的视图，覆盖您的核心安全架构（参见图5）。这将提供一种非常有价值的方法，特别是在保护非结构化数据时。只关注组件安全性，会使安全实践者对数据的使用和移动引起的其他威胁视而不见。使用数据分类和发现工具，查找组织中的敏感数据，然后与业务用户一起跟踪信息的移动方式。构建一个数据流图，以确定关键风险领域，并将以数据为中心的控制（如分级、企业数字权限管理（EDRM）和DLP）放在这些点上。将这些解决方案应用到任何事情上都是昂贵的，也很难显示出好处，而且可能会产生严重的业务影响。因此，针对性的方法更有效。
图5.以数据为中心的安全架构控制族
对于许多组织来说，DLP仍然是数据安全控制的首选，但仍然存在许多问题。使用以数据为中心的架构方法，通过建立数据生命周期中的卫生的“上游”，可减轻DLP的负担。使用基于风险的方法，来确定DLP最重要的地方，并识别DLP在现有控制中的可用位置。
2）为数据存储和数据分析，设计实用灵活的方法
在选择特定控制之前，创建可能存在的数据的最完整的视图，以及在组织中移动的方式。即使是基本的数据流建模，也提供了关于最高风险和所需控制的非常有用的见解。使用以数据为中心的安全架构方法来关注信息安全，而不是系统安全。
由于其操作风险和管理开销，请明智地使用加密。一般来说，应该在尽可能低的层次执行广泛的加密。尽管这种方法只为针对存储和系统的攻击创建了全面保护，但它仍然满足与静态数据加密相关的大多数合规性要求。
对于测试数据、分析、数据共享甚至一些高度敏感的生产数据字段等用例，决策数据是否和多少必须在字段级别受到保护。使用数据屏蔽、字段级加密或标记化。字段级保护仅用于解决特定威胁、攻击或合规性要求，并将此类保护视为授权机制的扩展。不要在字段级别屏蔽或加密所有内容，而是选择要保护的特定字段和文件。
随着企业功能变得越来越数据驱动，高级分析（包括人工智能技术，如带深度学习的机器学习）占据了中心位置。技术专业人士常常难以将安全和隐私，设计到大数据和高级分析平台中，因为在这个平台上，数据孤岛、数据流和权限基本上是不透明的。
区块链继续受到许多客户的关注。Gartner观察了早期的用例，包括所有权注册、事务处理、身份管理。目前，区块链计划的咨询量很大。然而，市场还没有出现。
6 移动设备、物联网、代理和SaaS将推动原生安全能力和附加组件的扩展
用户终端，即个人电脑和移动设备，仍然是恶意软件的一大目标，往往是进一步攻击的第一个立足点。除了不限于网络钓鱼或恶意应用程序的威胁，用户也可能意外地授予不需要的应用程序权限，而这些权限太过强大。需要在移动和PC端点上使用行为分析和EDR技术，来阻止和/或检测更高级的恶意软件和无文件攻击。
除了终端用户端点的增长，组织还必须处理越来越多的其他设备（这些设备需要访问其网络）和代理（这些代理需要与应用程序和数据对接）。物联网设备的设计通常没有考虑到企业安全性和可管理性，所以默认情况下的安全性通常很弱，配置和补丁也很重要。此外，其中一些设备是多址的，组合了Wi-Fi或硬接线网络连接与蜂窝通信方式，从而创建了企业网络的可能入口点。各种智能代理，如虚拟个人助理（VPA）和RPA，接管人工任务，但是它们的安全性还没有被很好的理解。
1）实施威胁和数据保护，以覆盖所有类型的最终用户端点
安全架构师必须跨网络、客户端端点、服务器端点，检查其恶意软件保护架构：
■ 评估跨操作系统和应用程序的标准卫生实践，包括漏洞和配置管理以及数据备份。
■ 审核安全解决方案的配置，以确保它们经过优化和集成，以便跨网络和端点进行检测。
■ 利用一个或多个端点和移动解决方案，不仅提供预防能力，还提供检测和响应能力，帮助减少从成功恶意软件攻击中恢复的时间。EDR和MTD（移动威胁防御）就是这样的例子。
■ 对于高风险或高威胁环境，考虑牺牲一些用户体验（UX）或解决方案复杂性以使用更高安全性的技术。示例包括远程浏览和内容解除和重建（CDR）技术。
各种技术已经成熟并得到大规模应用。其中包括漏洞缓解、恶意软件检测和预防、遏制、行为分析和EDR。一些技术，如CDR浏览，正在成为预防性方法（见图6）。
图6.具有规避弹性的安全模式
2）设计端点和移动安全，以与云应用程序安全保持一致
许多移动应用程序与公共的基于云的应用程序交互，保护移动设备上的数据必须包括控制这些设备的云使用。但或许更重要的是，移动设备与服务交互的安全性将需要托管在云中，以确保可接受的性能和延迟。移动性的云视图也有助于指导如何设计云服务的安全性。换句话说，与其独立设计移动安全和云安全，不如在整体系统的基础上实现安全（参见图7）。
图7.CASB（云访问安全代理）架构和能力
EPP、MTD、UEM、DLP等技术提供了基于设备的威胁保护、数据保护、用户活动可见性。这些基于设备的解决方案，可以引入到由基于云的技术（如CASB）提供的自适应访问控制用例中。特别是CASB，它为组织提供了多种集成方法和安全功能（见图7）。
除了CASB之外，一些供应商还提供ZTNA（零信任网络访问）和RBI（远程浏览器隔离）产品，以提供访问应用程序的附加选项。虽然ZTNA和CASB代理方法非常相似，在技术上可以结合使用，但ZTNA通常用于访问组织自身运行的应用程序，而不是SaaS应用程序。作为一种新的架构模式，RBI提供了从非受控端点到可信应用程序的独立访问。这与RBI的传统用法相反，传统RBI将可信端点与不可信的网站和应用程序隔离开来。
利用SIEM作为安全监视活动中心的组织可以从这些技术中获益，以扩展其检测和响应能力。由于日志内容的限制、复杂的日志格式和日志传输问题，将云和移动环境直接集成到SIEM中常常是一项挑战。云环境中生成的大量日志，也是以分散化方式整合事件收集和分析的一个重要原因，告警仍会转发给SIEM进行集中化监视。
三、建议优先项
上述六大类趋势和规划考虑因素的相对重要程度和紧迫程度，取决于组织在数字业务和IT方面的成熟度，及其安全态势。下面提供的优先项，将有助于企业采用并保持一种基于风险的自适应安全方法。
1）首先对高暴露风险区域和基本控制进行分类。安全团队发现，在不断变化的IT和业务世界中，要跟上选择关键控制的步伐是一项挑战。作为实现基本安全卫生的一部分，组织应该将重点放在高度暴露给外部黑客的资产上。电子邮件、客户端端点、云的特权用户帐户，和在互联网上暴露的数据存储、文件共享、应用程序，很容易被误用或错误配置。攻击者通常会识别并枚举这些区域内的目标和漏洞，这使得它们成为通用的攻击向量。在这些区域内创建可见性和保护至关重要。
2）使用安全架构作为基础性实践。为了有助于差距评估和控制路线图规划，安全团队必须使用安全架构实践。在使用风险管理和控制框架的基础上，采用兼顾能力、威胁和攻击、成熟度的架构模型，有助于提供更全面的视图。这些做法应该在全球范围内用于规划安全项目，但也可以在项目级别上帮助将需求映射到现有的安全架构中。
3）尽早并经常与非安全干系人接触。安全团队必须留出时间与业务干系人接触，并与IT团队接触。作为一个整体，组织需要对其风险偏好设定明确的方向，特别是在网络攻击和监管环境不断变化的情况下。高效网络安全的成本，尤其是在现在很难找到人才的情况下，必须被考虑到业务决策中。因此，一个务实的、基于证据的、集成的风险管理方法，以及清晰的沟通，对于确保每个人都明智地选择和同意控制措施至关重要。在层次结构中建立适当的度量和报告有效性是成功的关键。
4）避免仅仅因为单个领域的战术问题而购买产品，无论是专用平台还是多功能平台。相反，请后退一步，制定一个规划，包括适合组织的长期安全架构、IT和业务需求的解决方案和供应商。
声明：本文来自蓝海科学，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
