Gartner：企业安全体系常见四大误区
内容提要
安全管理体系是企业的关键信息、安全原则、资源和活动的复杂生态系统。CIO在构建安全体系时，应避免设定不切实际的目标、引发摩擦但未降低风险的安全策略、无法引起利益相关者共鸣的信息传递、以及无法支持敏捷数字项目的中心化风险决策方法。CIO应与业务领导者讨论并决定平衡防护措施与业务运营需求，测试安全策略的可行性，阐述与业务成果相关的安全风险，培养员工的网络判断力。
延伸解读
安全目标需与业务平衡
文章指出，企业设定抵御所有攻击的安全目标既不现实也不合适。CIO应与业务领导者讨论，在防护措施与业务运营需求之间取得平衡，而不是由IT部门单独决定。当高管询问能否百分之百安全时，应将谈话引向对风险的讨论，明确可能影响业务战略目标的安全风险，并定义风险控制衡量指标，在业务目标、安全风险和跟踪指标之间建立明确联系。
安全策略应减少摩擦
安全策略的根本目的是鼓励安全行为、阻止不利行为，但员工可能因策略难以遵守而选择忽略。Gartner调研显示，69%的员工曾有意绕过安全策略，74%的受访者表示若有助于业务目标则会绕开策略。企业应使用基于场景的方法测试策略可行性，开发用户手册用业务语言解释安全要求，并发现、理解并解决员工经历的摩擦，确保策略切实可行。
安全沟通要挂钩业务成果
许多中国大型企业已设立企业级安全委员会，但安全议程沟通仍以合规为导向或以IT为中心，无法有效展示安全投资对业务成果的价值，难以引起CEO和业务高管的共鸣。CIO及安全团队应阐述与业务成果相关的安全风险，不仅限于合规，并了解沟通背景，选择合适的价值沟通方式，从而更好地引起CEO和委员会业务成员的共鸣。
分布式风险决策与网络判断力
随着业务部门雇佣自己的数字化技术人员，以及敏捷或DevOps方法的采用，企业安全风险决策日益分散。依赖传统中心化安全团队将难以应对快速增加的分布式决策数量和速度要求。CIO应培养所有员工的网络判断力，满足敏捷数字项目的风险决策需求，减少网络风险暴露，并节省安全人力资源用于更具影响力的活动。
Q&A
企业安全体系常见的四大误区是什么？
根据Gartner，企业安全体系常见的四大误区包括：1. 设定不切实际的目标，希望抵御所有攻击；2. 安全策略引发摩擦但并未降低安全风险；3. 传递的信息无法引起利益相关者的共鸣；4. 采用的中心化风险决策方法无法支持敏捷数字项目。
为什么企业不应设定抵御所有攻击的安全目标？
因为不存在完美的防护机制，设定旨在遏制所有攻击的安全目标既不现实也不合适。企业应在防护措施与业务运营需求之间取得平衡，这种平衡需要与业务领导者讨论决定，而不是由IT部门单独决定。投入大量资金预防对业务影响较小的安全事件并不符合成本效益。
员工为什么会绕过企业的网络安全策略？
员工绕过安全策略的主要原因是安全策略引发了摩擦，阻碍了员工高效开展工作。2022年Gartner调研发现，69%的员工在过去12个月中曾有意绕过安全策略，74%的受访者表示如果有助于实现业务目标（如完成截止日期或营收目标），他们会选择绕开策略。此外，安全团队独立制定的策略可能难以遵守、与员工角色不合理或与工作目标冲突。
如何避免安全策略引发摩擦但未降低风险？
企业应使用基于场景的方法测试安全策略的可行性，在员工面对的实际场景中测试策略是否提供支持或造成妨碍。同时，可以开发用户手册，用通俗易懂的业务语言解释常见场景的安全要求。最后，发现、理解并解决员工所经历的摩擦。
CIO如何让安全沟通引起高管共鸣？
CIO及安全团队应该阐述与业务成果相关的安全风险，而不仅限于合规，这将更好地引起CEO和委员会业务成员的共鸣。同时，需要了解沟通背景，选择合适的价值沟通方式，避免传递过多未与业务挂钩的安全技术运营层面的信息。
为什么中心化风险决策方法无法支持敏捷数字项目？
因为业务部门更多地雇佣自己的数字化技术人员，安全和风险决策日益分散，同时企业采用敏捷或DevOps方法加速数字业务交付，增加了快速风险决策的压力。传统的单一中心化安全团队很难招聘到足够的安全人才来应对分布式风险决策的数量和速度要求，分散决策的机会成本很快会超过其增加的价值。
CIO如何应对分布式风险决策的需求？
CIO应培养企业所有员工的网络判断力，以满足敏捷数字项目风险决策的数量和速度要求，这将大大减少整个企业的网络风险暴露。由于网络判断力并不要求安全人员全程参与风险决策，节省下来的安全人力资源可以重新分配，用于更具影响力的网络安全活动。
