?用數(shù)字說話——2018年安全行業(yè)現(xiàn)狀
每一年，CIO網(wǎng)站都會進行“CIO現(xiàn)狀”調(diào)查，今年自然也不例外。通過本次公布的結(jié)果，您將能夠了解CIO們應(yīng)如何在當下的商業(yè)環(huán)境當中繼續(xù)發(fā)展，并確定2018年年內(nèi)的議程。
此次全面調(diào)查涉及眾多廣泛的主題。不過在本文當中，我們將關(guān)注重點放在安全層面?？紤]到違規(guī)損失越來越高，而安全亦成為技術(shù)戰(zhàn)略當中重要的組成部分，我們自然有理由考量以下幾個全局性問題——IT安全由誰負責、向誰報告、又掌握著多少預(yù)算？
下面，讓我們一同從數(shù)字當中尋找答案。
?誰在負責？
要了解一家企業(yè)對于某項任務(wù)究竟有多么關(guān)注，最好的方法之一就是看看負責這件事的高管到底擁有怎樣的地位。然而，這方面目前的職位安排確實令人有些迷糊——您可能擁有自己的首席安全官（CSO）、首席信息安全官（CISO）以及其它變體，而他們的工作描述也因企業(yè)不同而存在巨大差異。其中，CSO很有可能同時兼顧著企業(yè)內(nèi)的物理安全與信息安全事務(wù)。
從這個角度來看，我們調(diào)查的企業(yè)在安全管理方面擁有多種具體實現(xiàn)方式。25%的受訪企業(yè)擁有CISO，11%擁有CSO，17%擁有另一位頭銜不同的高層安全管理人員——這意味著近一半的企業(yè)還沒有為安全團隊任命任何高層管理人員。
?誰負責管理安全負責人？
當然，任何參與過企業(yè)內(nèi)部“斗爭”的朋友都很清楚，公司之內(nèi)的影響力通常直接體現(xiàn)在每位員工的報告對象方面。我們向各家擁有CSO及CISO的企業(yè)進行了求證，了解這類職務(wù)需要向誰報告，并發(fā)現(xiàn)這兩種職務(wù)設(shè)置在報告路徑方面也存在著顯著差異。
在擁有CSO的組織當中，約有半數(shù)直接向CEO或者COO報告; 而四分之一則直接向企業(yè)內(nèi)的高層CIO報告。在CISO一邊，報告結(jié)構(gòu)則幾乎完全顛倒過來：約有半數(shù)接受高層CIO的領(lǐng)導(dǎo)，四分之一與企業(yè)運營高層對接。這似乎表明CSO這一頭銜的職務(wù)定位更高——至少目前看來是如此。（此外，這兩個職位也有可能受到其它幾種職務(wù)的監(jiān)管，包括部門內(nèi)CIO與CFO——CFO可能會以防損職權(quán)方式介入。）
他們有哪些計劃？
為了盡可能提高效果，安全工作必須自起步階段就被融入戰(zhàn)略當中。這一點對于大多數(shù)IT高管而言并不算什么秘密。我們向各受訪企業(yè)詢問了其IT安全戰(zhàn)略與整體IT戰(zhàn)略之間的整合情況，超過半數(shù)（54%）的受訪企業(yè)表示二者“緊密集成”，這意味著“IT安全戰(zhàn)略成為整體IT戰(zhàn)略與路線圖的重要組成部分?！绷碛?0%表示“IT安全投資通常直接反映現(xiàn)有IT安全挑戰(zhàn)或事件?！?/span>
參與此次調(diào)查的IT領(lǐng)導(dǎo)者們則清醒地意識到上述整合目標還沒有真正實現(xiàn)。在被問及未來三年IT安全戰(zhàn)略將如何與IT戰(zhàn)略進行整合時，82%的受訪者表示二者將緊密集成，但只有2%表示二者可能無法集成。?
CEO是否支持安全事務(wù)？
事實上，信息安全專業(yè)人士很少抱怨高層管理人員在安全問題方面抱持的消極態(tài)度; 但隨著網(wǎng)絡(luò)攻擊活動的日益加劇，越來越多的CEO們終于開始意識到自己的工作與安全事件間存在緊密的潛在關(guān)聯(lián)。事實上，F(xiàn)oley & Lardner LLP技術(shù)事務(wù)與外包業(yè)務(wù)合伙人Matthew Karlyn在2015年的休斯頓CIO Perspectives大會上向與會者們表示：“整個高管層與董事會如今都面臨著巨大的安全壓力。”
也許正因為如此，當我們向CIO詢問其CEO在未來一年中的首要任務(wù)是什么時，才會有36%的受訪者在前三大任務(wù)當中提出“改進IT與數(shù)據(jù)安全水平以避免網(wǎng)絡(luò)攻擊”——這一比例遠超其它觀點。
關(guān)注流程，而非關(guān)注工具
再來看一項似乎與CEO們關(guān)注網(wǎng)絡(luò)攻擊這一傾向相沖突的數(shù)據(jù)：只有28%的受訪企業(yè)表示“安全/風險管理”屬于一項能夠推動IT投資的技術(shù)創(chuàng)新，而其它受訪者則強調(diào)資金正在流向其它非安全方向。
不過在詢問有哪些業(yè)務(wù)計劃有望推動IT投資時，情況又有所不同：31%的受訪者表示“提高網(wǎng)絡(luò)安全保護”，另有19%的受訪者表示“滿足合規(guī)性要求（GDPR等）”——而且GDPR等法令的合規(guī)工作往往被納入最高級別安全高管的職責范圍。這里傳達出的信息也許是，高管人員實際上是將安全視為一種整體性的業(yè)務(wù)考量方式——而非單純購買并安裝一套軟件或者工具。
他們打算提供多少預(yù)算？
2015年，IDC公司提出將企業(yè)IT預(yù)算總額的13.7%作為安全支出是一種比較理想的作法。但過去幾年以來，網(wǎng)絡(luò)安全挑戰(zhàn)變得日益嚴峻，這意味著IT安全支出將大幅增加，且提升速度可能遠超企業(yè)內(nèi)的其它預(yù)算類型。
盡管如此，我們發(fā)現(xiàn)大多數(shù)受訪企業(yè)在這方面的表現(xiàn)都不理想：超過半的企業(yè)僅利用IT預(yù)算中的不足10%作為信息安全資金。四分之一的企業(yè)則將目標設(shè)定在10%到20%范圍內(nèi)。
企業(yè)是否在招聘相關(guān)人才？
通過上述數(shù)據(jù)點，大家一定認為信息安全已經(jīng)成為利潤豐厚、對IT專業(yè)新手們而言極具吸引力的職業(yè)區(qū)劃。我們向受訪企業(yè)們就此進行了求證，答案也確實沒有令人失望。受訪企業(yè)表示，在預(yù)計招聘難度最高的技能組合當中，安全與風險管理位列榜首——39%的受訪者對此表示認同。因此如果大家有意將網(wǎng)絡(luò)安全作為自己人生的奮斗目標，那么現(xiàn)在是時候行動起來了。而在另一方面，如果您是用人單位一方……呃，只能祝好運啦。
本文由安全內(nèi)參翻譯自CIO
聯(lián)系客服
