2022年CISO最关心的问题

吕蕴藉

对于许多组织而言，需要增加安全预算和员工编制来保护有价值的数据。我们生活在数字时代，如今即便是基本任务对技术的依赖也在成倍增加，而且每天都有新公司进入市场，并承诺通过应用程序和数字解决方案让我们的生活变得更轻松。

由于疫情的影响，现在的企业比以往任何时候都更加依赖技术，虽然有些限制已经解除，但世界已经进入“新常态”，世界各地的企业表示他们正在采用远程或混合办公模式。再加上业务运营对各种应用程序和服务的日益依赖，从而导致漏洞不断增加。

随着员工对灵活工作方式的适应，安全专业人员的任务便是寻找新的、可靠的方法来实现数据和网络安全。在这种新形势下，2022年CISO最关心的是什么？有几个关键领域脱颖而出。

勒索软件/恶意软件

网络犯罪分子的敏捷性是无与伦比的，勒索软件攻击的增加就是明证。《福布斯》最近的一篇文章列出了一些惊人的数字：勒索软件占所有安全漏洞的10 %；一项调查发现，37 %的全球组织在2021年成为某种勒索软件攻击的受害者；根据FBI的数据，2021年1-7月，勒索软件攻击同比增长了62 %。

2021年，平均赎金为81.2万美元，比上一年增加了近65万美元。受这些攻击影响的公司中有近一半支付了攻击者要求的赎金，这使得勒索软件本身成为了一个行业。

由于勒索软件经常利用最终用户的天真或失误，导致整个组织的网络和数据受到攻击。CISO专注于通过渗透测试（通过模仿攻击）采取预防措施，并确保最终用户获得充足的信息以做出明智的决策，还要确保软件和补丁更新对于IT预算和战略至关重要。

云和网络安全

虽然远离本地安装和物理介质为IT部门节省了大量时间和精力，但它也让安全专业人员保持警觉。云环境可能会造成严重的安全可见性差距，增加预防策略、管理网络和应用程序的复杂性。

2021年底，Log4Shell攻击敲响了警钟，将云安全推到了各地CISO优先级列表的首位。该攻击利用了Java应用程序使用的Log4j日志框架，允许攻击者加载和执行恶意代码。黑客可以通过Java控制易受攻击的设备，进而允许他们建立后门、创建僵尸网络并发起勒索软件攻击。

这次全球性攻击引起了人们对云安全的关注，87 %的受访者表示他们对自己的策略缺乏信心。为多云平台提供保护的公司已通过加速其工具的开发来应对这一威胁。

API安全

API是现代社会的基础，因为几乎所有功能都依赖于某种应用程序。随着组织使用的应用程序数量的增长，用于集成或支撑流程的API数量也在增加。

不幸的是，尽管API对使用它们的组织很有帮助，但它们也吸引了试图利用安全漏洞的狡猾攻击者注意。

2021年，API攻击增长了令人难以置信的681 %，而API流量增长了321 %。API特别容易受到攻击，因此，它们对强大的安全性提出了独特的挑战。API环境的不断变化使得安全专业人员难以跟上步伐，使得组织容易受到数据泄露、SQL注入、拒绝服务攻击、恶意软件和伪造用户身份验证的影响。

员工培养、人才招聘和储备

2022年，各行业普遍存在的抱怨是缺乏熟练且可用的人员来填补关键职位。网络安全职业网站CyberSeek报告称，截至撰写本文时，美国有超过70万个职位空缺，而且数月来这个数字一直保持稳定。

CISO认识到了他们的组织中对顶级安全专业人员的需求（和价值），但在填补适当角色上比较困难。培训和提升现有IT专业人员的技能会有所帮助，但这只是增加了他们的工作量而不是专注于网络安全，因此这只是一种权宜之计。

随着员工转向远程和混合办公模式，CISO还需要提醒最终用户主动加强安全性。通过帮助用户了解网络犯罪分子使用的狡猾策略，组织更有机会保护他们的数据和最终用户免受恶意活动的侵害。

随着勒索軟件攻击、API安全和网络漏洞利用的增加，安全形势正在迅速发生变化。CISO将预算和战略重点放在主动和预防性安全措施上，同时提高员工的技能，并在市场上为他们的团队寻找有才华的专业人士。对于许多组织而言，需要增加安全预算和员工编制来保护有价值的数据。