Gartner研究总监陈延全表示：“企业安全职能在技术、组织和人员方面面临颠覆。风险管理领导者必须进行完善的准备工作并采取务实的态度，以应对颠覆，实施高效的网络安全项目。”
为了应对这些因素的综合影响，2024年风险管理领导者需要在其安全计划中采取一系列实践方法、技术功能和结构改革，以此提高企业机构的韧性和网络安全绩效。
以下重要趋势将对这些领域产生广泛影响。
趋势一：持续威胁暴露面管理项目展现强劲势头
Gartner预测，到2026年，通过持续威胁暴露面管理项目确定安全投资优先级的企业机构，其安全漏洞将减少三分之二。
陈延全表示：“近年来，企业机构的攻击面急剧扩大，给企业机构带来了潜在的安全盲点，以及大量需要解决的潜在威胁暴露面。作为应对，安全和风险管理领导者开展了试点项目，引入相关流程来确定威胁暴露面的数量和重要性，并验证持续威胁暴露面管理（CTEM）项目的效果。”
趋势二：改善身份与访问管理实践，充分发挥其在提升网络安全成功方面的作用
在身份优先的安全方法中，利用身份与访问管理（IAM）取代网络安全及其他传统的安全控制措施成为了安全工作的重点。采取身份优先安全策略的企业机构，必须加强对基本的IAM规范以及IAM系统强化的关注，以提升韧性。
趋势三：以韧性为导向、资源效率更高的第三方网络安全风险管理
随着第三方遭遇网络安全事件变得不可避免，安全和风险管理领导者不得不将注意力从涉及大量前期投入的尽职调查转向了以韧性为导向的安全投资。勇于进取的安全和风险管理领导者已将旨在提升韧性的工作活动列为优先事项，例如实施补偿性控制措施和加强事件响应规划等。同时，他们正在为业务合作伙伴提供有针对性的支持，以帮助其优化与第三方的合作，并且影响与安全控制相关的决策。
趋势四：隐私驱动的应用和数据解耦，在碎片化的世界中优化运营
Gartner预测，到2025年，10%的全球企业将拥有一个以上受特定数据主权战略约束的业务单位，从而使创造相同业务价值的成本增加至少一倍。
陈延全表示：“基于国家主义的隐私以及数据保护和本地化要求不断增多，加剧了企业应用架构和数据本地化实践的碎片化。数十年来一直以来单租户应用的跨国企业，面临着日益增加的合规要求和持续攀升的业务中断风险。作为应对，具有前瞻性的企业机构正在规划和实施不同层面的应用和数据解耦战略。”
趋势五：GenAI引发短期疑虑，但同时也点燃了长期希望
生成式人工智能（GenAI）引入了新的攻击面。为提供相关防护，企业机构必须对应用和数据安全实践以及用户监控进行变革。到2025年，GenAI的采用将导致企业机构所需的网络安全资源激增，从而使应用和数据安全支出增加15%以上。
此外，鉴于ChatGPT等大语言模型应用的兴起只是GenAI颠覆浪潮的开端，安全和风险管理领导者还需要就该技术的快速演进做好应对准备。
趋势六：安全行为和文化项目在降低人为网络安全风险方面的作用受到热切关注
客户和供应商已经认识到，当前只关注员工网络安全意识提升的普遍做法，对于减少员工行为导致的安全事件效果甚微。
陈延全表示：“安全行为与文化项目（SBCP）是一种企业层面的方法，旨在最大程度减少与员工行为相关的网络安全事件，无论这些事件是出于一时疏忽还是有意为之。SBCP的主要目标是改变员工行为。到2027年，50%的⼤型企业⾸席信息安全官（CISO）将采⽤以⼈为本的安全设计实践，以最⼤限度减少⽹络安全引发的员工抵触并提升安全控制的采⽤率。”
趋势七：网络安全成果驱动型指标助力安全领导者有效传达网络安全价值
网络安全成果驱动型指标（ODM）是包含特殊属性的安全运营指标，可以帮助利益相关者在安全投资与其所能实现的保护等级之间建立直接关联。
各行业企业机构都在网络安全人员、流程和技术方面进行了大量投资，然而网络安全事件的发生频率和负面影响却在持续攀升。这削弱了董事会和高管对于网络安全战略的信心。企业机构正在寻求一种衡量网络安全价值的方法，既能够引起高管的共鸣，还可以支持务实、符合业务需求的投资决策。ODM作为最具前景的候选方案之一，受到了越来越多企业机构的青睐。
趋势八：持续演变的网络安全运营模式
随着业务线继续取代IT职能成为技术获取、构建和交付的主体，传统的网络安全运营模式逐渐被打破。安全和风险管理领导者正在对网络安全运营模式进行调整，以满足业务部门在自主性、创新和敏捷性方面的需求。具体而言，安全工作的决策权日益分散化；安全策略的细节逐渐交由边缘侧的业务决策者负责；针对部分治理工作建立了集中和正式的治理机制，以更好地支持业务部门的风险负责人；安全和风险管理领导者的角色也正从控制措施管理者在向价值推动者演变。
趋势九：重塑网络安全技能，助力企业机构应对未来风险
到2026年，50%的大型企业将使用敏捷学习作为主要的技能提升/重塑方法。
陈延全表示：“安全和风险管理领导者面临着一系列重大趋势，而这些趋势都对网络安全团队的技能需求产生了影响。并且，新技能需求的增长速度将会超过新角色、新资格认证、新职位描述和新职位名称的创建速度。换言之，依靠学习型和发展型解决方案、招聘平台以及人力资源实践，将无法及时满足网络安全的技能需求。”
⽹络安全团队需要围绕敏捷学习改善学习和发展计划，并基于敏捷学习通过迭代和短期突击来优先发展实践技能。
