由于個人法律風險敞口，預計全球100家企業(yè)中的三分之二將向網絡安全領導人提供董事和高級管理人員保險。此外，與虛假信息作斗爭預計將花費企業(yè)超過5000億美元。

隨著我們開始超越GenAI的可能，出現(xiàn)了幫助解決一些長期困擾網絡安全的問題的堅實機會，特別是技能短缺和不安全的人類行為。今年最熱門預測的范圍顯然不是在技術上，因為人的因素繼續(xù)獲得更多的關注。任何尋求建立有效和可持續(xù)的網絡安全計劃的CISO都必須將這一點作為優(yōu)先事項。

網絡安全領導者戰(zhàn)略規(guī)劃的基本假設

Gartner建議網絡安全領導者在未來兩年的安全戰(zhàn)略中建立以下戰(zhàn)略規(guī)劃假設。

到2028年，GenAI的采用將縮小技能差距，50%的入門級網絡安全職位不再需要專業(yè)教育。

GenAI增強將改變企業(yè)招聘和教授網絡安全人員的方式，這些人員尋找正確的能力，以及正確的教育。主流平臺已經提供了對話增強功能，但將會不斷發(fā)展。Gartner建議網絡安全團隊專注于支持用戶工作的內部用例，與人力資源合作伙伴協(xié)調，確定鄰近的人才擔任更關鍵的網絡安全角色。

到2026年，將GenAI與安全行為和文化計劃(SBCP)中基于平臺的集成架構相結合的企業(yè)將經歷由員工驅動的網絡安全事件減少40%。

企業(yè)越來越重視個性化參與，將其作為有效的SBCP的重要組成部分。GenAI具有生成超個性化內容和培訓材料的潛力，這些內容和培訓材料可以考慮到員工的獨特屬性。根據(jù)Gartner的說法，這將增加員工在日常工作中采取更安全行為的可能性，從而減少網絡安全事件。

尚未采用GenAI功能的企業(yè)應評估其目前的外部安全意識合作伙伴，以了解其如何利用GenAI作為其解決方案路線圖的一部分。

到2026年，75%的企業(yè)將把非托管、遺留和網絡物理系統(tǒng)排除在零信任戰(zhàn)略之外。

在零信任策略下，用戶和終端僅獲得完成其工作所需的訪問權限，并根據(jù)不斷變化的威脅進行持續(xù)監(jiān)控。在生產或任務關鍵型環(huán)境中，這些概念并不適用于非受管設備、傳統(tǒng)應用程序和網絡物理系統(tǒng)(CP)，這些系統(tǒng)旨在獨特的以安全和可靠性為中心的環(huán)境中執(zhí)行特定任務。

到2027年，由于個人法律風險敞口，全球100家企業(yè)中的三分之二將向網絡安全領導者提供董事和高級管理人員(D&O)保險。

新的法律法規(guī)——例如SEC的網絡安全披露和報告規(guī)則——讓網絡安全領導人承擔個人責任。CISO的角色和責任需要更新，以便進行相關的報告和披露。Gartner建議企業(yè)探索為D&O保險以及其他保險和補償承保這一角色的好處，以減輕個人責任、專業(yè)風險和法律費用。

到2028年，企業(yè)用于打擊惡意信息的支出將超過5000億美元，蠶食50%的營銷和網絡安全預算。

人工智能、分析、行為科學、社交媒體、物聯(lián)網等技術的結合，使不良行為者能夠創(chuàng)造和傳播高效的、大規(guī)模定制的惡意信息(或錯誤信息)。Gartner建議CIO定義管理、設計和執(zhí)行企業(yè)范圍的反惡意信息計劃的責任，并投資于使用混沌工程測試彈性的工具和技術來解決這個問題。

到2026年，40%的身份和訪問管理(IAM)領導者將承擔檢測和響應與IAM相關的違規(guī)行為的主要責任。

IAM領導人經常難以闡明安全和商業(yè)價值以推動準確的投資，也不參與安全資源和預算的討論。隨著IAM領導人的重要性不斷提高，他們將朝著不同的方向發(fā)展，每個方向的責任、知名度和影響力都會增加。Gartner建議CIO打破傳統(tǒng)的IT和安全孤島，通過使IAM計劃與安全計劃保持一致，讓利益相關者了解IAM所扮演的角色。

到2027年，70%的企業(yè)將數(shù)據(jù)丟失預防和內部風險管理規(guī)則與IAM環(huán)境相結合，以更有效地識別可疑行為。

人們對整合控制的興趣與日俱增，促使供應商開發(fā)以用戶行為為中心的控制和防止數(shù)據(jù)丟失之間重疊的功能，這為安全團隊提供了一套更全面的功能，可為數(shù)據(jù)安全和內部風險緩解雙重使用創(chuàng)建單一策略。Gartner建議企業(yè)識別數(shù)據(jù)風險和身份風險，并將其作為戰(zhàn)略數(shù)據(jù)安全的主要指令。

到2027年，30%的網絡安全功能將重新設計應用安全，供非網絡專家直接使用，并由應用所有者擁有。

業(yè)務技術人員和分布式交付團隊創(chuàng)建的應用程序的數(shù)量、種類和環(huán)境意味著，暴露的可能性遠遠超出專門的應用程序安全團隊所能處理的范圍。

為了彌補這一差距，網絡安全職能部門必須在這些團隊中建立最低限度的有效專業(yè)知識，利用技術和培訓的結合，只產生自主做出網絡風險知情決策所需的能力。