据Check Point的研究，仅一年间勒索软件攻击就增加了20%。
然而，即便网络风险不断上升，首席信息安全官仍面临削减成本的压力。
以下是他们如何在优先推进创新的同时，尽可能高效地利用现有工具，以平衡这两方面的压力。
网络风险在全球范围内持续增长，网络犯罪分子现在正在使用人工智能来辅助其犯罪活动。
据Check Point统计，仅勒索软件攻击就同比增长了20%，同时这些攻击的频率和复杂程度也在提高。如今，86%的商业领袖认为全球地缘政治不稳定在未来两年内导致灾难性网络事件的可能性为中等或很高。
与此同时，首席信息安全官（CISO）在经济逆风不断变化的情况下，面临着削减网络安全支出的日益增大的压力。
好消息是，尽管财政审慎可能颇具挑战，且看似不切实际，但网络安全专业人员完全有能力以更少的投入实现更多的成果。
网络安全：以更少投入实现更多成果的七种方法
以下是首席信息安全官在不影响安全性的前提下减少网络安全支出的七种方法：
1. 优化现有解决方案
许多组织购买了某项网络安全能力的许可，却从未启用。另一些组织则需要升级其版本，以确保可以使用所有当前功能。
许多合作伙伴和供应商提供咨询和教育资源，帮助安全专业人员充分理解并利用现有网络安全工具的内在功能。在某些情况下，扩大使用某一工具可使首席信息安全官替换并取消另一工具，从而简化运营、降低成本。
2. 审视内部与外包的网络安全工作
一些组织借助第三方团队开展特定的网络安全工作，但尽管存在种种障碍，将这些专业工作转回内部可能反而成本更低。反之，贵企业也可能有若干任务由托管服务提供商（MSP）或托管安全服务提供商（MSSP）来处理会更具成本效益。组织应考虑开展差异化成本分析，以审视内部与外包的网络安全工作。
组织还必须通过员工意识提升和持续培训，建立并维持强有力的网络安全文化。根据世界经济论坛的《2023年网络安全展望》，“组织的网络能力会随着员工对网络风险的理解，以及其在协助管理这些风险方面的角色与责任而不断增强。”确保员工了解最新攻击手段及其预防方法至关重要。
3. 整合网络安全工具
整合网络安全解决方案可提升安全效能和员工士气，缩短应急预案，减少培训及认证工作，并降低支出。此举还可以推动营收增长。由Dimensional Research与Check Point开展的一项研究发现，49%的组织使用6至40个安全产品之间的数量，而98%的组织通过多个控制台管理其安全产品，从而形成了可见性盲点。
4. 测试并加强韧性措施
尽管拥有强大的网络安全团队，全球企业仍持续遭遇高度破坏性的网络事件。持续投入备份能力及其他网络灾难恢复措施，可在发生入侵时节省开支。安全团队应制定最新的事件响应计划，并每季度进行一次测试。他们应确保所有严重和高风险漏洞均已修补，或已采取充分的补偿性控制措施。
若企业需要为此申请额外预算，可通过强调以下潜在损失来证明成本的合理性：营收损失、声誉影响、业务中断成本，以及在网络安全计划的这一部分投入不足所带来的风险。许多企业采用FAIR方法来论证安全支出的合理性。
5. 自动化并优化工具
部分工具可能已具备自动化功能，因此首席信息安全官应先识别被浪费的人力投入与时间，并优先将其自动化。例如，如果某组织发现大量误报不仅浪费时间，还常被忽视，这可能表明需要做出改变。根据IBM《数据泄露成本报告》，充分部署人工智能和自动化的组织，与未使用这些工具的组织相比，每次数据泄露可节省305万美元。换言之，积极推进人工智能和自动化的企业，最多可在泄露相关开支上节省65.2%。
6. 永不信任，始终验证
零信任是一种基于“永不信任，始终验证”原则的安全模型。采用美国国家标准与技术研究院（NIST）的框架可降低网络入侵风险，因为它能防止网络攻击者利用过度权限和网络分段不足的漏洞。在某些情况下，实施零信任安全策略已带来92%的投资回报率，回收期不足半年。零信任可将数据泄露的概率降低多达50%。至关重要的是，零信任是一段旅程，也是一种方法，而非单一产品。
7. 以预防为先
许多安全工具只能“检测”问题，而无法“预防”问题。考虑到攻击速度，检测已为时过晚，攻击可能导致数据外泄和/或加密勒索，并对业务造成负面影响。防范灾难远比应对灾难更具成本效益。数据泄露的平均成本为435万美元，而医疗和金融领域的企业所承担的成本往往远高于平均水平。对以预防为先的投资回报进行量化，必须基于组织通过预防优先策略能够避免的损失规模。经过测算，以预防为导向的安全计划终将胜出。
世界经济论坛如何应对日益严峻的网络安全挑战？
网络安全中心为领导者提供了一个可信赖的平台，使其齐聚一堂，共同理解不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中建立理解与信任。
通过促进跨行业合作与洞见共享，该中心帮助合作伙伴增强网络韧性，并应对需要集体应对的挑战。
网络安全领域的创新与机遇
即便网络安全预算被大幅削减，组织仍可做好准备并取得成功。网络安全的核心在于创新，并始终领先网络犯罪分子一步。为此，预算限制恰恰为组织提供了契机，使其能以创新的新方式对待安全工作，从而取得更为实质性的成效。
强大的网络安全与韧性是可以实现的。通过落实上述步骤，同时在职场中与员工共同构建牢固的安全文化，确保良好的网络卫生与流程，并整合和优化技术解决方案，就有可能以更少的投入实现更多的成果。
