在當下的經(jīng)濟寒冬中，網(wǎng)絡犯罪和內部威脅空前活躍，但越來越多的企業(yè)卻把“降本增效”的屠刀掄向網(wǎng)絡安全部門，導致很多安全團隊面臨“既要馬兒跑，又要馬兒不吃草”的窘境。

事實上，將網(wǎng)絡安全看作成本支出是企業(yè)數(shù)字化轉型過程中最大的認知誤區(qū)之一，網(wǎng)絡安全支出(投資)是當今全球企業(yè)IT的最高優(yōu)先級事項，有著可量化的關鍵業(yè)績指標和投資回報率。尤其是在經(jīng)濟衰退、數(shù)字風險驟增的動蕩時期，網(wǎng)絡安全是企業(yè)跑贏同行，在熊市笑到最后的“核心生存力”。

對于需要戰(zhàn)術性縮減安全預算的企業(yè)，我們介紹幾個投入少見效快，用最少資源最大限度降低風險的八種方法。

1.采用基于風險的安全策略，優(yōu)先保護關鍵資產(chǎn)

企業(yè)資產(chǎn)、數(shù)據(jù)的業(yè)務價值和所面臨的安全威脅各不相同，為了提高防御效率，安全團隊需要進行徹底的資產(chǎn)盤點和風險評估，以確定最關鍵的資產(chǎn)及其潛在威脅。將優(yōu)先保護關鍵資產(chǎn)作為基于風險的安全管理策略的一部分，企業(yè)可以大大提高資源分配效率。

一般來說，安全團隊需要專注于保護對核心業(yè)務運營至關重要的敏感客戶數(shù)據(jù)、知識產(chǎn)權和系統(tǒng)。同時，安全領導者需要幫助業(yè)務部門了解暴露風險以及風險緩解的技術成本。反過來，考慮到預算限制，企業(yè)領導者必須最終確定他們愿意接受哪些風險，不要把降本增效搞成了“降本增效”甚至“降本翻車”。

2.加強安全意識培訓，打造人肉防火墻

根據(jù)卡巴斯基的“2023年人為因素調查報告”，64%的網(wǎng)絡安全事件由人為錯誤導致，遠遠超過黑客攻擊(20%)。今天，人為錯誤(包括疏忽和故意)仍然是數(shù)據(jù)泄露的主要原因之一，而安全意識培訓一直是投入產(chǎn)出比最高的網(wǎng)絡安全投資之一。

通過定期培訓計劃加強員工的網(wǎng)絡安全意識，企業(yè)可獲得顯著且持續(xù)的安全投資回報。即使企業(yè)的技術和人力資源有限，訓練有素、消息靈通的員工隊伍也可以充當強大的“人肉防火墻”。

安全意識培訓除了教育員工有關網(wǎng)絡釣魚詐騙、社會工程策略和密碼衛(wèi)生知識外，還應包括定期(至少每季度)的災難恢復和網(wǎng)絡戰(zhàn)培訓。

3.投資安全自動化

網(wǎng)絡安全的降本增效，降的不是人力成本，是技術債和運營成本，增的不是工作壓力，而是智力效率和業(yè)務彈性。自動化網(wǎng)絡安全工具可以簡化流程并減少人工干預的需要，從而減輕安全團隊的重復性低端工作量，提高事件檢測、分析、響應和恢復的關鍵任務效率。

自動威脅檢測、事件響應和補丁管理可以顯著提高企業(yè)快速檢測和緩解威脅的能力，即使在預算有限的情況下也是如此。

如今，越來越多的企業(yè)開始考慮如何將網(wǎng)絡運營、開發(fā)運營和安全運營整合起來，大量使用自動化和可編程工具。NetSecOps、DevSecOps等模型既可以提高安全性，又可以降低運營成本，提高業(yè)務彈性。

4.外包安全服務

考慮將某些網(wǎng)絡安全功能外包給專業(yè)的第三方提供商。托管安全服務提供商(MSSP)可以提供經(jīng)濟高效的選項，例如持續(xù)監(jiān)控、威脅檢測和事件響應。

托管安全服務對于內部缺乏網(wǎng)絡安全專業(yè)技能和資源的小型公司尤其有價值。通過與MSSP合作，企業(yè)可以獲得專家服務，而無需承擔完整團隊的總體成本。

5.定期更新和打補丁

根據(jù)微軟“2023年數(shù)字防御報告”，看似不起眼的網(wǎng)絡安全“基本功”，即基礎的安全衛(wèi)生措施依然可以防御99%的網(wǎng)絡攻擊。這些基本的安全衛(wèi)生和管理措施中，補丁管理是最為重要的措施之一。

過時的系統(tǒng)和未打補丁的軟件是網(wǎng)絡犯罪分子的主要目標。通過定期更新系統(tǒng)修補軟件消除已知漏洞，安全團隊可以防止許多常見的攻擊。預算有限的安全團隊可以考慮使用不需要額外投資的現(xiàn)成工具，例如用于Windows系統(tǒng)更新的Microsoft System Center Configuration Manager 。

6.打造戰(zhàn)略情報網(wǎng)絡

威脅情報是網(wǎng)絡安全的核心能力和動力。企業(yè)需要積極與同行企業(yè)、行業(yè)信息共享組織、專業(yè)智庫和政府機構合作，低成本獲取威脅情報和最佳安全實踐。Mitre ATT&CK框架和金融服務信息共享和分析中心等公共知識庫也可提供有關最新攻擊向量和安全流程最佳實踐的全球公開信息。

通過與同行、行業(yè)機構、專業(yè)智庫和政府機構建立值得信賴的戰(zhàn)略情報合作伙伴關系網(wǎng)絡，企業(yè)安全主管可以隨時了解與企業(yè)密切相關的新威脅和創(chuàng)新安全技術，并在人才培養(yǎng)、技術選型、風險管理方法和內部價值溝通方面獲得強大助力。

7.跟蹤關鍵安全運營指標并展示安全投資回報率

為了確保來年獲得更多預算分配，安全團隊迫切需要向企業(yè)管理層展示網(wǎng)絡安全計劃的投資回報率，最有效的做法是通過關鍵安全運營指標和業(yè)績指標(KPI)來展示安全團隊如何防止網(wǎng)絡攻擊、減少停機時間并最大限度地減少財務損失。關鍵安全指標還能提高安全能見度，制定有針對性的事件檢測與響應流程，提高安全運營和規(guī)劃的針對性和有效性。

常見的關鍵安全指標包括平均檢測時間(MTTD)、平均響應時間(MTTR)、漏洞補丁響應時間等。

8.集中化安全管理

實現(xiàn)集中化、體系化的安全管理需要將多個安全工具和流程整合到一個統(tǒng)一的管理平臺中來高效處理網(wǎng)絡安全事務。通過集中化的安全管理系統(tǒng)，企業(yè)可以統(tǒng)一監(jiān)控和管理安全策略，減少重復工作，簡化安全運維，改進風險管理，標準化安全策略，從而降低運營成本，提高整體安全防護的能力和企業(yè)業(yè)務彈性。

總結

隨著網(wǎng)絡犯罪的規(guī)?；凸艏夹g的復雜化，企業(yè)面臨的外部和內部網(wǎng)絡安全威脅正快速增長，企業(yè)網(wǎng)絡安全團隊迫切需要更多預算和資源升級并整合安全技術堆棧，縮小人才和技能差距，提高安全運營效率，保護企業(yè)的關鍵資產(chǎn)遠離重大風險。

因此，特殊時期的網(wǎng)絡安全預算削減對于企業(yè)安全團隊來說是個艱巨的挑戰(zhàn)。本文介紹的一些降本增效的做法，例如資產(chǎn)優(yōu)先級排序、加強安全意識培訓、采用基于風險的安全管理方法、投資自動化和戰(zhàn)略情報網(wǎng)絡，可以幫助企業(yè)高效利用有限資源，提高業(yè)務彈性，安全渡過經(jīng)濟嚴冬。