据估计，三分之二的互联网用户——超过20亿人——曾遭遇个人信息被盗或泄露，而企业平均每隔40秒就会遭受一次勒索软件攻击。威胁不断变化，新型攻击的出现速度也在加快，尤其是那些不断演变、以躲避安全防护措施的攻击，而这些措施往往跟不上变化。例如，Emotet恶意软件每天最多会将用于传播病毒的链接或附件更换24次。此外，99%的恶意软件被使用的时间不足一分钟。
面对如此多样的威胁，人们很容易把注意力集中在技术投入上：防火墙、防病毒软件、恶意软件检测、DDoS防护，以及其他各种旨在防止潜在安全漏洞的技术。
情报至关重要
面对快速变化的威胁态势，安全团队可能会被各类安全监控工具收集的大量数据压得不堪重负。
但如果没有坐在工具面前的分析师，工具就毫无用处。分析师可以根据情报识别异常，进而调查威胁、了解威胁，并迅速采取行动降低风险。
这并不是说投资IT安全不重要。但网络安全威胁不断升级，对具备技能、才干和经验的人才提出了前所未有的需求。事实上，到2021年，全球网络安全岗位将短缺350万个。
组织可以从三个方面帮助培养所需技能：
1. 安全意识
随着安全问题日益贴近个人，组织开始认识到，每位员工都必须在增强组织网络安全方面发挥更大作用。
人往往是安全链条中最薄弱的一环：点击电子邮件中极具诱惑力的中奖链接；夜班期间为了让披萨送进来而把消防出口撑开；或者在回家途中向同行乘客泄露商业机密。
许多管理者仍难以“推销”安全培训的益处，因为他们没有让人们切身体会网络攻击的后果。我们仍然看到有人被要求参加安全意识课程，却没有任何参与感，也不真正理解这与自己有什么关系。
但这并不意味着安全意识计划已经失去作用。把安全意识变成每个人的职责，往往不仅有助于保护组织，还能保护员工的家庭生活，以及他们的家人和孩子。
通过奖励良好行为、投资于员工、为他们提供培训，并建立能够持续改变其行为方式的流程，员工就能成为组织最重要的安全资产。
2. 基层教育
面对未来严重的人才技能短缺，我们现在就必须共同努力，培养新一代网络安全防卫者。
组织可以采取有计划的方式，帮助吸引更多技能人才进入安全行业：既可以支持“全国网络安全意识月”这一年度宣传活动，提高公众对网络安全重要性的认识，也可以为中学免费提供网络安全教案，或安排安全专家到校演讲。
此外，还有“英国网络安全挑战赛”等机会。这是一系列全国性竞赛、学习项目和交流活动，旨在发掘、激励和帮助更多人成为网络安全专业人士。
学徒制也是弥补技能缺口的绝佳方式。虽然成效不会立竿见影，但随着时间推移，学徒制能够持续为组织输送具备技能、受过教育并接受过专项培训的安全工作人员。
3. 留住技能人才
高达97%的组织担忧安全技能人才问题，而且三分之二的组织难以留住现有的安全人员。
那么，招聘到技能人才后，如何让他们保持兴趣？
具备合适技能的人才往往薪酬要求很高，除了顶尖组织，其他机构通常难以负担。安全专家希望获得令人振奋的机会，承担具有挑战性和开创性的任务。他们容易感到厌倦，需要新的经历来保持热情，因此留住人才有时不能只靠金钱。
留住技能人才的一种方法是制定发展计划，专门帮助他们胜任工作并推进职业发展。为他们提供内部辅导、外部培训和实际支持。
你还可以确保安全专家，尤其是“道德攻击者”——也就是通过攻击自身防御来找出弱点的人——有时间发挥创造力。给他们时间构思攻击你的新方法，你就能降低风险并保护自己。
安全不只是技术
安全不只是技术。要在安全竞赛中领先一步，还需要人才、合作伙伴关系、情报和专业知识。
把人放在保护最重要之物的核心位置，你就能在不断变化的威胁态势中保持领先。
