今天，安全领导者正在积极推进他们的2022年总体战略，列出支持企业弹性的优先事项清单。CSO进行的《年度安全优先级研究报告》指出，受访的CISO表示他们计划在未来几个月采取一些举措，但他们既不专注于强化任何单一工具，也不依赖任何一种方法。相反，它们的优先级反映了安全功能的演变。今天，安全功能必须是相互依赖的政策、程序和技术能力的集合，它们共同努力解决CISO自身企业面临的特定风险和威胁。此外，他们表示，考虑到企业IT和业务环境最近发生的变化、不断变化的威胁形势和新出现的安全风险，他们的优先事项真正反映了安全需求。简而言之，CISO表示他们2022年的首要任务是跟上并努力做得更好。威胁场景变化影响优先级2022年，更多企业上云。IT正在解耦应用程序和数据层。CIO正在转向更具组合性的架构。而且，他们正在加速他们的数字计划。额外的现实是，我们已经在家工作了两年，我们如何管理这种不安全的远程设备将继续考验安全领导者。与此同时，安防行业将迎来真正的“离职潮”，因为他们已经被长期的超负荷运转所累。2022年，一切都将更难管理。现在CISO的问题是：我们如何管理所有这些？我们如何聪明地跑步才能安全又快速？ParkviewHealth信息安全副总裁兼HIPAA安全官DarrellKeeling有自己的一些想法。与其他安全主管一样，基林在其任职期间见证了威胁形势的演变。例如，他看到黑客越来越多地使用勒索软件攻击医疗机构。与此同时，随着云环境的发展，企业（包括他自己的企业）变得更加数字化——这些举措极大地扩大了攻击面并有效消除了边界的概念。Keeling表示，他的首要任务是实现成熟的安全性，以匹配不断发展的技术堆栈和随之而来的安全威胁。这涉及简化自己的安全堆栈，从来自多个供应商的大量同类最佳解决方案转变为严重依赖Microsoft安全解决方案的方法。（ParkviewHealthIT主要是一家使用Azure云的Microsoft商店。）他认为，简化安全堆栈将创建更高效??的安全操作，同时增加成本更少。作为该计划的一部分，Keeling计划将重点放在员工培训上，以使更多团队成员获得Microsoft认证。基林2022年的其他优先事项包括实施更多智能、行为分析软件和云安全技术；建立威胁搜寻能力；并巩固他的第三方风险管理计划。CISO的优先事项更多地关注工具和技术安全优先级研究证实，CISO正在继续投资于技术，90%的人表示他们的组织在过去12个月内至少添加了一种安全工具。CISO优先事项的技术列表也反映了他们日益集成的安全方法。例证：云数据保护技术是重中之重，87%的CISO正在研究、试验、使用或升级其使用。在一项相关研究中，发现88%的CISO优先考虑基于云的网络安全服务；此外，数据访问治理技术在CISO优先列表中也名列前茅，零信任也是如此，84%的人表示零信任是他们的首要任务；行为监控和分析是另一个高度优先事项，82%的人表示他们正在学习、试点、使用或升级他们的使用。CISO还对安全编排、自动化和响应(SOAR)技术表现出高度兴趣或使用，77%的CISO正在研究、试验、使用或升级它们的使用。对于安全分析师和研究人员来说，这样的数字不足为奇。他们表示，随着企业越来越多地投资于云计算以实现数字化转型和随时随地访问，他们必须采用这些技术来保护过去几年迅速变化的环境。TheAnalystSyndicate的网络安全分析师AndrewPlato表示，云确实是安全的核心。他发现CISO对云安全态势管理平台特别感兴趣，这些平台使他们能够跨多个云部署全面了解和实施安全性。凯文·F·布朗(KevinF.Brown)的2022年优先事项也反映了这一趋势。ScienceApplicationsInternationalCorporation(SAIC)高级副总裁兼首席信息安全官Brown表示，他的首要任务是人才招聘和保留；业务连续性和弹性；网络、云和数据的零信任；和业务支持。他解释说：“网络安全人才仍然供不应求，尤其是在建立多元化和包容性的团队方面，这是必不可少的。由于业务中断的影响，勒索软件仍然是整个行业的最大威胁。逼迫受害企业支付赎金越来越严重，让勒索组织尝到更多甜头；也是因为越来越多的数据泄露使得敲诈勒索变得更加容易。除了保护能力之外，还需要制定弹性和恢复计划。此外，零信任原则不仅需要解决传统的网络安全问题，还需要解决不断扩展的用户和云边界以及关键数据的保护和完整性策略。总而言之，无论是通过提供安全的商业解决方案，降低风险，还是推广安全的设计理念，实现安全的商业运营都是重中之重。“优先事项支持持续改进安全计划虽然2022年的每个优先事项都很重要，但布朗说它们都不是新的优先事项，只是他一直在做的事情的延续。这也反映了CISO网络安全计划的整体状况，并表示2022年的安全重点将是进步，而不是革命。那么，是否会有一些“酷”技术来彻底改变这一切？答案可能是否定的。大约67%的受影响受访者表示，他们的组织正在更加关注关于提高安全服务的利用率和/或资源分配；62%的受访者表示他们有一个流程来持续评估他们拥有或访问的安全解决方案（通过供应商合同）程序和服务的有效性。ShawnM.Bowen，WorldFuelServices信息安全副总裁表示，他的首要目标是不断提高安全能力——这一目标将推动他来年的工作。例如，他正在努力提高他设计的安全政策、程序和控制的能力，以适应公司自身识别的风险和威胁。”他说，“我想超越框架成熟度模型，成为基于风险的安全操作。因此，我们的目标不是在框架之上构建安全并提供标准服务，而是专注于我们的企业风险管理计划。为此，他正在与他的业务同事合作，以了解、阐明他们特定职能领域内的风险和威胁并确定其优先级，以便安全部门能够真正调整其资源来抵御它们。此外，Bowen希望让企业更多地参与安全部门的企业风险管理方法。他计划利用这次合作为他们的每个产品和服务开发适当的威胁模型，以便他可以针对这些特定威胁定制安全产品。2022年CISO面临的挑战表示他们正在实现《安全优先级研究》报告称，CISO表示其组织未能解决网络风险的首要原因是难以说服组织的所有或部分成员了解他们面临的风险的严重性脸。大约30%的人表示这确实是一个棘手的问题。几乎同样多的人(29%)报告资源不足，而27%的人报告无法在其安全策略中采取足够的主动性。未能解决网络风险的其他主要原因包括难以招聘和留住专业人员；在整个应用程序开发周期中未能始终如一地满足安全要求；对用户的安全培训不足。在承认这些问题确实是重大挑战的同时，分析师指出了一些CISO优先事项将帮助他们解决这些问题。例如，他们指出，专注于事件响应，尤其是在针对业务风险量身定制并与业务支持和弹性相结合时，可为安全计划提供更多业务支持。同时，添加更多的数据保护技术、云安全工具以及对零信任和SOAR解决方案的支持，有助于将安全嵌入到更多的核心技术栈中，而不是使其成为一项附加服务。此外，CISO还可以通过在这些技术的部署中增加自动化来缓解安全人员短缺和偶尔的用户端安全漏洞带来的挑战。SymbridgeHoldingsLLCCISOMichaelIbarra列出的2022年优先事项与其他安全领导者的大致相同。根据Ibarra的说法，2022年的优先事项将是公司整体安全战略的关键。他致力于加强公司的数据隐私保护和供应商风险管理实践。此外，他还专注于API安全和数字身份验证，这两者对于保护不断增长的云环境至关重要。他还在加强对漏洞的防御，特别是研究如何最好地减轻和防止国家支持的网络攻击。他致力于将安全计划与公司的技术变更控制流程联系起来，以便安全与IT一样快速发展，并研究可以提供价值的尖端技术。他还将继续努力招募和留住人才，部分方法是确保他们获得正确的培训和技能提升途径。伊巴拉说，他们正在共同努力创造网络弹性。“我们仍然专注于提供安全可靠的平台，我们的首要任务之一一直是将风险降至最低。但优先考虑弹性可以让我们为未知做好准备，”他说。
