您是否高估了贵组织的安全成熟度？

本文部分内容曾发表于《Dark Reading》，经更新后在此转载。


随着大多数企业在增长、创新和数字化转型的浪潮中不断前行，公司在扩张过程中难免会有一些领域尚待完善。对于企业的网络安全项目而言，情况往往如此，尤其是当安全领导者们竭力在应对新威胁、新漏洞和技术发展带来的风险暴露时。

然而，面对持续的人才短缺与全球软件开发需求激增之间的矛盾，许多企业在网络安全战略和基础设施方面已然落后。此外，由于行业似乎过于执着于工具导向的方法，往往忽视了专业人才在防御体系中的核心作用。

现在是时候审视我们的整体网络安全成熟度，并评估眼前切实可行的快速提升方案了。

可持续的网络安全成熟度是一个循序渐进的过程。

公众很容易认为每家企业都拥有稳健的网络安全计划，认为保护工作只需选择合适的软件并将其激活，就能像力场一样阻挡威胁。2022年是有记录以来网络事件最严重的一年，包括整个哥斯达黎加政府遭到勒索，许多安全专业人士对此深有感触，深知现实远非如此简单。

虽然许多行业（尤其是金融领域）受合规性驱动，并受到日益复杂的监管框架约束，必须采取严格的安全措施，但现实情况是，大多数组织在网络韧性方面仍有欠缺。超过半数的全球大型企业无法有效阻止网络攻击，也无法快速发现并修复已利用的漏洞。

即使是那些被认为处于领先地位、拥有涵盖人员、流程和技术这“铁三角”的成熟项目的组织，也难以跟上威胁形势的快速变化。许多公司的一个关键短板是基于角色的安全意识，尤其是针对开发团队。虽然组织中的每个人都必须了解自己在减少攻击面方面的作用，但那些每天与代码打交道的人，如果能获得充分的技能提升，完全有能力成为安全转型的主导力量。

一个全面的防御性安全计划需要持续改进，并需在夯实基础上下足功夫。如果这些基础主要依赖于工具，那么成熟度很可能低于安全领导者的预期。Ponemon研究所的一项研究显示，53%的企业对其安全技术栈能否有效阻止入侵缺乏信心，而人为错误是导致大中型企业遭受网络攻击的主要原因，将开发人员排除在战略性安全提升之外无异于玩火。

让开发人员成为软件安全卓越表现的驱动力

关于网络攻击，一个令人不安的事实是，无论企业处于安全成熟度之旅的哪个阶段，攻击者几乎总是占据绝对优势。他们有时间、有工具、有动力去仔细扫描任何可利用的弱点，并致力于突破防线以获取利益。

另一方面，组织则需要在业务和客户需求之间寻求平衡。虽然他们无法承受重大网络攻击带来的巨大风险，但为了部署可能阻碍性能的安全控制而让业务运营陷入停滞也是不切实际的。这正是具备安全技能的开发人员在网络防御中发挥关键作用的地方。

长期以来，开发人员一直未能被赋予分担安全责任的有效途径，但这种情况必须得到改善。组织可以为开发人员制定切实可行的技能提升路径，但必须选择那些以符合其工作方式来传授相关课程的教育方案。至少，培训内容应使用他们实际使用的语言和框架，并解决他们在代码库中最可能遇到的漏洞。

当课程设计考虑到开发人员的工作流程时，他们就更有可能用安全、优质的编码模式取代那些导致常见漏洞和配置错误的糟糕模式，从而显著提升软件质量。仅今年一年，低质量软件就给美国造成了2.41万亿美元的损失，只有打破导致高风险技术债务的错误循环，才能解决这一问题。

这需要全组织致力于构建一个更积极、更全面的安全计划，充分利用人力资源来解决以人为本的问题。如果避免登上明天的头条新闻至关重要，那么这一切努力都是值得的。