Gartner近期發布的網絡安全預測報告指出，隨著生成式人工智能(Generative AI，以下簡稱GenAI)的應用，網絡安全技能缺口有望消失，員工引發的網絡安全事件也將大幅減少，與此同時“人的因素”將成為網絡安全的核心議題。

“隨著GenAI技術的不斷發展，其在網絡安全領域的應用前景廣闊，有望幫助解決長期困擾該行業的諸多難題，尤其是人才短缺和員工安全意識不足等問題，”Gartner研究總監Deepti Gopal表示，“今年的網絡安全預測報告將重點放在人為因素上，而非單純的技術層面。任何希望建立有效、可持續網絡安全項目的信息安全主管都應將此視為重中之重。”

除了“人的因素”外，GenAI還將對企業網絡安全資源預算、應用安全和數據安全實踐產生重大影響。Gartner預測，到2025年，保護GenAI安全所需的網絡安全資源將激增，導致應用程序和數據安全方面的支出增加超過15%。“CISO必須更新應用程序和數據安全實踐，以集成新的攻擊面，例如提示或編排層來檢測人工智能模型。”

Gartner報告指出，CISO未來兩年安全戰略中需重點關注八大新要素：

一、網絡安全招聘門檻大幅降低，選材標準轉向“重能力輕專業”

到2028年，GenAI的普及將快速填補網絡安全技能缺口，50%的入門級網絡安全職位不再需要特定的專業教育背景。

GenAI將徹底改變組織招聘和培養網絡安全人才的方式，不再僅僅局限于教育背景，而是更加注重候選人的能力和悟性。主流安全大模型平臺已經提供了對話式增強功能，未來還將進一步發展。Gartner建議網絡安全團隊應關注內部用戶支持用例，并與人力資源部門合作，為關鍵網絡安全崗位發掘合適人才。

二、GenAI徹底改變安全意識和文化

到2026年，將GenAI與基于平臺架構的集成安全行為和文化項目(SBCP)相結合的企業，員工引發的網絡安全事件將減少40%。

個性化參與日益成為高效SBCP項目的重要組成部分。GenAI能夠生成根據員工個人特質量身定制的內容和培訓材料。根據Gartner的研究，這將提高員工在日常工作中采取安全行為的可能性，從而減少網絡安全事件的發生。

“尚未采用GenAI技術的組織應評估其當前的外包安全意識培訓合作伙伴，了解其解決方案路線圖中如何利用GenAI，”Gopal說道。

三、零信任清除盲區

到2026年，75%的組織將把非托管、遺留和網絡物理系統排除在零信任策略之外。

零信任策略的核心是，用戶和終端僅獲得完成其工作所需的最少訪問權限，并會根據不斷演變的威脅形勢對其持續監控。然而，在生產或任務關鍵型環境中，零信任的理念并不完全適用于非托管設備、遺留應用程序和專為在特定安全性和可靠性環境下執行任務而設計的網絡物理系統(CPS)。

四、緩解CISO職業風險

到2027年，由于面臨個人法律風險，全球100強企業中的三分之二將為首席信息安全官(CISO)提供董事及高級職員(D&O)保險。

美國證券交易委員會(SEC)的網絡安全披露和報告規定等新法律法規使網絡安全領導者面臨個人責任。CISO的角色和職責需要根據相關的報告和披露要求進行更新。Gartner建議組織探索為CISO提供D&O保險以及其他保險和補償計劃，以減輕其個人責任、職業風險和法律支出。

五、虛假信息是網絡安全新戰場

到2028年，企業對抗虛假信息方面的支出將超過5000億美元，這將占到營銷和網絡安全預算的一半左右。

人工智能、分析、行為科學、社交媒體、物聯網和其他技術的結合使惡意分子能夠創建和傳播高效、大規模定制的虛假信息。Gartner建議首席信息安全官明確治理、設計和執行全企業反虛假信息計劃的職責，并投資相關工具和技術，利用混沌工程測試組織的應對能力。

六、IAM能力越大責任越大

到2026年，40%的身份和訪問管理(IAM)負責人將承擔檢測和響應IAM相關漏洞的主要責任。

IAM負責人往往不善于闡明網絡安全的商業價值，難以推動準確的投資，也常常無法參與安全資源和預算討論。隨著IAM負責人重要性的不斷提升，他們的職責將發生分化，并肩負起更多的責任、擁有更高的知名度和更大的影響力。Gartner建議CISO打破傳統IT和安全孤島，通過協調IAM計劃和安全計劃，讓利益相關者了解IAM所扮演的角色。

七、DLP與IAM整合控制

到2027年，70%的組織將把數據丟失防護和內部風險管理規則與IAM環境相結合，以更有效地識別可疑行為。

對整合控制的興趣日益濃厚，促使供應商開發代表以用戶行為為中心的控制和數據丟失預防之間重疊的功能。這為安全團隊引入了一套更全面的功能，可以創建用于數據安全和內部風險緩解雙重用途的單一策略。Gartner建議組織識別數據風險和身份風險，并將它們結合使用作為戰略數據安全的主要指令。

八、應用安全管理的去中心化

到2027年，30%的網絡安全部門將重新設計應用安全方案，使其可以直接被非網絡安全專家使用，并由應用程序所有者負責。

業務技術人員和分布式交付團隊創建的應用程序數量、種類和上下文意味著潛在的風險敞口遠遠超出了專門的應用程序安全團隊所能處理的范圍。

“為了彌合差距，網絡安全部門必須在這些團隊中構建最低有效專業知識，利用技術和培訓的結合，使其具備做出自主網絡風險決策所需的能力。”Gopal總結道。