在過去的一年里,Gartner在安全與風險管理領域的關鍵發(fā)現(xiàn):
隨著數(shù)字化轉(zhuǎn)型的持續(xù)升溫,錯綜復雜的生態(tài)系統(tǒng)是數(shù)字業(yè)務不可缺的部分,而與其相關的安全風險將倍受關注;
回顧過往一年,全球領先的企業(yè)由于遭受惡意的網(wǎng)絡攻擊造成的損失達到3億美元;
越來越多的安全技術(shù)轉(zhuǎn)向了云計算,不管是訂閱模式還是按需付費模式,企業(yè)將會有更多種方式來評估安全技術(shù),縮短復雜的RFP流程;
網(wǎng)絡安全資格審查在市場整合并購環(huán)節(jié)中非常重要,但需要對行業(yè)、資產(chǎn)價值、監(jiān)管環(huán)境以及交易金額等方面進行綜合評判。
Gartner認為網(wǎng)絡攻擊不可避免的看法已經(jīng)廣泛的被企業(yè)組織認同,且影響著企業(yè)組織如何應對風險。安全與風險管理的領導者需建立完善的信息安全管理計劃,以規(guī)范的安全準則,促進業(yè)務產(chǎn)出為基礎。基于上述的研究發(fā)現(xiàn),Gartner在安全與風險管理領域做出了幾點預測:
從戰(zhàn)略角度看數(shù)字化安全和風險管理
預測1 : 預計到2022年,企業(yè)組織在對業(yè)務伙伴進行風險評估時,網(wǎng)絡安全等級將變得比信譽等級更為重要。
在整體的風險環(huán)節(jié)中,數(shù)字供應鏈風險的影響力正逐步擴大,同時第三方的風險也在增加。Gartner認為企業(yè)組織很難分析和管理企業(yè)風險,因為缺乏一個可擴展的、統(tǒng)一的安全機制來評估外部各方的網(wǎng)絡安全態(tài)勢。
Gartner發(fā)現(xiàn)企業(yè)用戶對網(wǎng)絡安全評級服務的興趣正在提升。網(wǎng)絡安全評級服務為企業(yè)組織提供連續(xù)的、獨立的量化安全分析和評分。通過被動或主動的方式從外部資源收集數(shù)據(jù),然后用專用的分析方法進行分析,并使用自己的評分方法進行評級,這種工具可以用于內(nèi)部生成安全報告以及第三方的風險管理。
預計在2020年,這種服務將成為日益增長業(yè)務關系的強制性先決條件,并成為服務提供商和采購者的標準。同時這種網(wǎng)絡安全評級的分數(shù)將對網(wǎng)絡保險業(yè)務的成本和可用性產(chǎn)生影響。從理論上講,網(wǎng)絡安全評級服務滿足了對外部安全態(tài)勢的持續(xù)監(jiān)測需求,但這種方法依然是一種相對較新的服務形式,有效性還需市場驗證。
預測2 :到2021年,至少有一家公司將公開承認因惡意軟件/勒索軟件的攻擊而造成業(yè)務中斷,造成的損失將達到10億美元。
去年聯(lián)邦快遞FedEx等公司由于惡意的網(wǎng)絡攻擊造成的財務影響高達3億美元,由于惡意軟件主要通過用戶發(fā)起的行為(如電子郵件附件)來傳播,以獲取滲透攻擊的權(quán)限,預計這種情況會進一步惡化。
在惡意軟件/勒索軟件攻擊普及化的環(huán)境下,企業(yè)需要增強主動防御機制和響應速度,修復受損數(shù)據(jù),并將系統(tǒng)恢復到正常狀態(tài)。這其中數(shù)據(jù)保護/恢復和數(shù)據(jù)副本多樣性變得更為重要。
預測3 : 預計到2022年,10%的企業(yè)在安全技術(shù)評估流程中將棄用RFP(請求建議書),而使用更敏捷的流程,包括競爭和戰(zhàn)略指引。
越來越多的安全技術(shù)轉(zhuǎn)向了云計算,不管是訂閱模式還是按需付費模式企業(yè)將會有更多種方式來評估安全技術(shù),縮短復雜的RFP流程。RFP的流程將會慢慢地演變,通過調(diào)整評分,增加對現(xiàn)場評估的權(quán)重,逐步整合競爭和戰(zhàn)略指引,作為最終評估的強制性步驟。
預測4 :到2020年,大約60%參與整合并購的組織會認為網(wǎng)絡安全態(tài)勢是評估核查過程中的一個關鍵因素。
當前全球的整合并購已經(jīng)超過了2.5萬億美元。以前網(wǎng)絡安全在整合并購的評估核查過程中往往被忽視。由于網(wǎng)絡攻擊導致的數(shù)據(jù)泄露會嚴重影響交易的估值,甚至可能導致交易失敗,這使得管理層對網(wǎng)絡安全的意識增強。網(wǎng)絡安全在評估核查過程中將會扮演關鍵角色。例如由于在Verizon公司的并購公告后披露安全漏洞,雅虎的收購價格下降了3.5億美元,這并不包括任何公眾聲譽損失或品牌形象損失。
Gartner建議組織的安全與風險管理者必須參與到整合并購的執(zhí)行過程中,因為任何類型的整合并購行為都會導致威脅、風險偏好和員工認知的改變。安全管理者需要參與評估可能影響未來業(yè)務戰(zhàn)略和安全風險的需求。