“您是否正在设法确保远程工作队伍的安全，但又不想阻碍企业的生产效率？”“您是否正在努力确认安全能力的风险和差距？”“首席信息安全官应该把时间和资源投入到哪儿？”
安全和风险管理专家经常会提出这些问题，但真正的问题应该是在不断变化的安全形势下，哪些项目将带动最大业务价值并降低企业机构的风险。
Gartner高级研究总监Brian Reed在2020年Gartner安全和风险管理峰会线上会议中提到：“我们可能把太多时间用在了过度分析我们所作的安全选择上，拼命去实现根本不存在的完美防护。我们不能把目光局限于基本的保护决策上，必须通过创新的检测和应对方式以及最终从安全事件中恢复来提高企业机构的韧性。”
其关键在于确定业务支持的优先级别并降低风险，同时将这些优先级别有效地传达到业务。
基于Gartner的预测及根据新冠疫情的影响所作出的调整，今年的十大安全项目中有八个是重点关注风险管理和理解流程细分的新项目。这些项目（未按重要性顺序排列）均可单独执行。
一、保护您的远程工作队伍
关注业务需求并了解用户和团队如何访问数据和应用。自远程工作需求开始出现以来已经过去了几个月，现在应该通过需求评估和变更回顾来确定访问级别是否合适以及是否有安全措施阻碍工作。
二、基于风险的漏洞管理
不要再想方设法地到处打补丁了。专注于会被真正利用的漏洞。不要只想着对威胁进行大量评估，应运用威胁情报、攻击者活动和内部资产关键程度来更好地了解企业机构所面临的真正风险。
三、扩展检测和响应（XDR）
XDR是一个统一安全和事件响应平台，它可以采集并关联来自多个专用组件的数据。它在部署时便已完成平台层面的集成，而不是在之后添加，因此可以将多个安全产品整合为一个产品，从而帮助优化整体安全效果。企业机构应考虑使用这项技术来简化和提炼安全措施。
四、云安全态势管理
企业机构需要保证跨IaaS和PaaS的通用控制并支持自动化评估和补救。云应用具有高度的动态性并且需要实现自动化的DevSecOps级安全。如果无法保证跨所有云安全方法的策略统一性，那么就很难保障公有云的安全。
五、简化云访问控制
云访问控制通常通过CASB实现。它们通过一个具有策略执行和主动拦截功能的内网代理提供实时执行能力。CASB还带来了灵活性，比如从监控模式入手，更好地确保流量的保真度并了解安全访问。
六、DMARC
企业机构将电子邮件作为唯一的验证来源，而用户很难确定从假帐户发出的真实消息。基于域的消息认证、报告和一致性（DMARC）是一项电子邮件身份验证策略。DMARC不是一套完整的电子邮件安全解决方案，而是整体安全策略的一部分。但它可以针对发件人的域增加一个信任和验证层。DMARC有助于防止网域变造，但无法解决所有电子邮件安全问题。
七、无密码身份验证
员工可能会草率地将个人电子邮箱的密码用作工作计算机的密码，而这可能会引起严重的安全问题。无密码身份验证有多种不同的有效验证方式，能提供更好的安全解决方案。您应该将目标定为增加信任度和改善用户体验。
八、数据分类和保护
每个数据都是不同的。通用型安全策略所创建的安全区域范围过大，而其他安全策略则过小，会增加企业机构的风险。在开始使用安全技术之前，应先从策略和定义开始，确保流程的正确。
九、工作队伍能力评估
在合适的岗位安排具有合适技能的合适人员。将艰深的技术类技能与领导才能这样的软实力相结合至关重要，同时也充满挑战。您不可能找到完美的人选，但您可以为每个项目确定五到六项必备能力。您可以通过多种方式评估能力，包括网络靶场和网络模拟以及软技能评估。
十、安全风险评估的自动化
这种方法可以帮助安全团队了解与安全运营、新项目或项目级风险相关的风险。风险评估往往不是被完全跳过，就是在执行时受到限制。此类评估将限制自动化所带来的风险并显示存在风险缺口的位置。
声明：本文来自Gartner公司，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
