在過(guò)去的一年里，Gartner在安全與風(fēng)險(xiǎn)管理領(lǐng)域的關(guān)鍵發(fā)現(xiàn)：

• 隨著數(shù)字化轉(zhuǎn)型的持續(xù)升溫，錯(cuò)綜復(fù)雜的生態(tài)系統(tǒng)是數(shù)字業(yè)務(wù)不可缺的部分，而與其相關(guān)的安全風(fēng)險(xiǎn)將倍受關(guān)注;
• 回顧過(guò)往一年，全球領(lǐng)先的企業(yè)由于遭受惡意的網(wǎng)絡(luò)攻擊造成的損失達(dá)到3億美元;
• 越來(lái)越多的安全技術(shù)轉(zhuǎn)向了云計(jì)算，不管是訂閱模式還是按需付費(fèi)模式，企業(yè)將會(huì)有更多種方式來(lái)評(píng)估安全技術(shù)，縮短復(fù)雜的RFP流程;
• 網(wǎng)絡(luò)安全資格審查在市場(chǎng)整合并購(gòu)環(huán)節(jié)中非常重要，但需要對(duì)行業(yè)、資產(chǎn)價(jià)值、監(jiān)管環(huán)境以及交易金額等方面進(jìn)行綜合評(píng)判。

Gartner認(rèn)為網(wǎng)絡(luò)攻擊不可避免的看法已經(jīng)廣泛的被企業(yè)組織認(rèn)同，且影響著企業(yè)組織如何應(yīng)對(duì)風(fēng)險(xiǎn)。安全與風(fēng)險(xiǎn)管理的領(lǐng)導(dǎo)者需建立完善的信息安全管理計(jì)劃，以規(guī)范的安全準(zhǔn)則，促進(jìn)業(yè)務(wù)產(chǎn)出為基礎(chǔ)。基于上述的研究發(fā)現(xiàn)，Gartner在安全與風(fēng)險(xiǎn)管理領(lǐng)域做出了幾點(diǎn)預(yù)測(cè)：

從戰(zhàn)略角度看數(shù)字化安全和風(fēng)險(xiǎn)管理

預(yù)測(cè)1 ： 預(yù)計(jì)到2022年，企業(yè)組織在對(duì)業(yè)務(wù)伙伴進(jìn)行風(fēng)險(xiǎn)評(píng)估時(shí)，網(wǎng)絡(luò)安全等級(jí)將變得比信譽(yù)等級(jí)更為重要。

在整體的風(fēng)險(xiǎn)環(huán)節(jié)中，數(shù)字供應(yīng)鏈風(fēng)險(xiǎn)的影響力正逐步擴(kuò)大，同時(shí)第三方的風(fēng)險(xiǎn)也在增加。Gartner認(rèn)為企業(yè)組織很難分析和管理企業(yè)風(fēng)險(xiǎn)，因?yàn)槿狈σ粋€(gè)可擴(kuò)展的、統(tǒng)一的安全機(jī)制來(lái)評(píng)估外部各方的網(wǎng)絡(luò)安全態(tài)勢(shì)。

Gartner發(fā)現(xiàn)企業(yè)用戶對(duì)網(wǎng)絡(luò)安全評(píng)級(jí)服務(wù)的興趣正在提升。網(wǎng)絡(luò)安全評(píng)級(jí)服務(wù)為企業(yè)組織提供連續(xù)的、獨(dú)立的量化安全分析和評(píng)分。通過(guò)被動(dòng)或主動(dòng)的方式從外部資源收集數(shù)據(jù)，然后用專用的分析方法進(jìn)行分析，并使用自己的評(píng)分方法進(jìn)行評(píng)級(jí)，這種工具可以用于內(nèi)部生成安全報(bào)告以及第三方的風(fēng)險(xiǎn)管理。

預(yù)計(jì)在2020年，這種服務(wù)將成為日益增長(zhǎng)業(yè)務(wù)關(guān)系的強(qiáng)制性先決條件，并成為服務(wù)提供商和采購(gòu)者的標(biāo)準(zhǔn)。同時(shí)這種網(wǎng)絡(luò)安全評(píng)級(jí)的分?jǐn)?shù)將對(duì)網(wǎng)絡(luò)保險(xiǎn)業(yè)務(wù)的成本和可用性產(chǎn)生影響。從理論上講，網(wǎng)絡(luò)安全評(píng)級(jí)服務(wù)滿足了對(duì)外部安全態(tài)勢(shì)的持續(xù)監(jiān)測(cè)需求，但這種方法依然是一種相對(duì)較新的服務(wù)形式，有效性還需市場(chǎng)驗(yàn)證。

預(yù)測(cè)2 ：到2021年，至少有一家公司將公開(kāi)承認(rèn)因惡意軟件/勒索軟件的攻擊而造成業(yè)務(wù)中斷，造成的損失將達(dá)到10億美元。

去年聯(lián)邦快遞FedEx等公司由于惡意的網(wǎng)絡(luò)攻擊造成的財(cái)務(wù)影響高達(dá)3億美元，由于惡意軟件主要通過(guò)用戶發(fā)起的行為(如電子郵件附件)來(lái)傳播，以獲取滲透攻擊的權(quán)限，預(yù)計(jì)這種情況會(huì)進(jìn)一步惡化。

在惡意軟件/勒索軟件攻擊普及化的環(huán)境下，企業(yè)需要增強(qiáng)主動(dòng)防御機(jī)制和響應(yīng)速度，修復(fù)受損數(shù)據(jù)，并將系統(tǒng)恢復(fù)到正常狀態(tài)。這其中數(shù)據(jù)保護(hù)/恢復(fù)和數(shù)據(jù)副本多樣性變得更為重要。

預(yù)測(cè)3 ： 預(yù)計(jì)到2022年，10%的企業(yè)在安全技術(shù)評(píng)估流程中將棄用RFP(請(qǐng)求建議書)，而使用更敏捷的流程，包括競(jìng)爭(zhēng)和戰(zhàn)略指引。

越來(lái)越多的安全技術(shù)轉(zhuǎn)向了云計(jì)算，不管是訂閱模式還是按需付費(fèi)模式企業(yè)將會(huì)有更多種方式來(lái)評(píng)估安全技術(shù)，縮短復(fù)雜的RFP流程。RFP的流程將會(huì)慢慢地演變，通過(guò)調(diào)整評(píng)分，增加對(duì)現(xiàn)場(chǎng)評(píng)估的權(quán)重，逐步整合競(jìng)爭(zhēng)和戰(zhàn)略指引，作為最終評(píng)估的強(qiáng)制性步驟。

預(yù)測(cè)4 ：到2020年，大約60%參與整合并購(gòu)的組織會(huì)認(rèn)為網(wǎng)絡(luò)安全態(tài)勢(shì)是評(píng)估核查過(guò)程中的一個(gè)關(guān)鍵因素。

當(dāng)前全球的整合并購(gòu)已經(jīng)超過(guò)了2.5萬(wàn)億美元。以前網(wǎng)絡(luò)安全在整合并購(gòu)的評(píng)估核查過(guò)程中往往被忽視。由于網(wǎng)絡(luò)攻擊導(dǎo)致的數(shù)據(jù)泄露會(huì)嚴(yán)重影響交易的估值，甚至可能導(dǎo)致交易失敗，這使得管理層對(duì)網(wǎng)絡(luò)安全的意識(shí)增強(qiáng)。網(wǎng)絡(luò)安全在評(píng)估核查過(guò)程中將會(huì)扮演關(guān)鍵角色。例如由于在Verizon公司的并購(gòu)公告后披露安全漏洞，雅虎的收購(gòu)價(jià)格下降了3.5億美元，這并不包括任何公眾聲譽(yù)損失或品牌形象損失。

Gartner建議組織的安全與風(fēng)險(xiǎn)管理者必須參與到整合并購(gòu)的執(zhí)行過(guò)程中，因?yàn)槿魏晤愋偷恼喜①?gòu)行為都會(huì)導(dǎo)致威脅、風(fēng)險(xiǎn)偏好和員工認(rèn)知的改變。安全管理者需要參與評(píng)估可能影響未來(lái)業(yè)務(wù)戰(zhàn)略和安全風(fēng)險(xiǎn)的需求。