网络安全趋势预测 (不履行网络安全保护义务，江西多家企业遭处罚！)

2022年已经成为网络钓鱼诈骗、网络攻击、数据泄露和加密盗窃数量的破纪录者。黑客主义案件也有所增加，国家支持的网络军团破坏了关键的基础设施和服务，破坏了网站，发起了DDoS攻击并窃取了信息。

不难想象，2023年将打破网络犯罪的记录。以下是我们在2023年可以预见的六大网络安全趋势。

1、更大的隐私性和监管压力

世界各国政府都在加大力度保护公民的数据隐私。据预测，到2023年，全球65%的人口将拥有现代隐私法规涵盖的个人数据，而2020年这一比例仅为10%。仅在美国，就有五个主要州将在2023年推出新的全面的数据隐私法。此外，美国近40个州在2022年提出或考虑了250多项与网络安全有关的法案。

2022年3月发布的联邦报告要求关键基础设施企业必须报告网络事件和勒索软件支付。SEC还对公共机构提出了新的网络安全披露要求，要求其披露董事会成员的网络安全专业知识，并定期报告网络安全实践。

2、零信任取代VPN

远程工作的趋势可能会持续下去。虚拟专用网络无法满足可扩展性的要求，而且该技术本身容易受到网络攻击和漏洞。另一方面，零信任是一种既可扩展又高度安全的多层方法。

零信任策略基于“从不信任，始终验证”的概念，这意味着仅仅因为可以识别和验证用户，就不能授予他们对所有资源的全面访问权。在零信任环境中，使用多种身份验证方法对用户进行持续验证、重新评估和重新授权。

3、威胁检测和响应工具成为主流

网络攻击不是一个“如果”的问题，这是一个“何时”的问题。企业阻止攻击或减少其影响的唯一方法是识别整个用户、应用和基础设施生态系统中的异常活动。

端点检测和响应、扩展检测和响应和管理检测和响应等，威胁检测和响应工具可以使用人工智能和机器学习算法分析历史数据，以发现不寻常的模式，并利用威胁情报和高级文件分析来检测和阻止，旨在逃避传统防御的高级威胁。预测20223年，对EDR和MDR等基于云的检测和响应解决方案的需求将在未来几年大幅增长。

4、对第三方风险管理的需求增加

许多对手正在绕过大型企业部署的复杂防御系统，他们通过黑客攻击较小的供应链企业，这些企业可能可以访问相同的信息，但没有同等级别的保护。供应链攻击在2021年增长了四倍。长期以来，企业一直使用第三方应用来提高工作效率，但此类工具可能存在许多漏洞，攻击者可以利用这些漏洞访问受害环境。

据预测，到2025年，45%的企业软件供应链将遭受攻击，这一数字将是2021年的三倍。董事会和首席执行官要求改善其供应链的安全性，这就是为什么我们可以预期对工具、服务和供应商问卷的需求会增加，这些工具、服务和问卷可以帮助对第三方和供应商的网络风险进行分类和监测。

5、越来越多的企业将外包网络安全

网络安全已经变得非常复杂，企业无法自行管理。大多数企业既不是网络安全专家，也不具备管理成熟的安全运营中心的技能或资源。安全团队不堪重负，网络安全人才的主要技能短缺使得招聘和留住安全专家变得困难。由于这些原因，许多企业将被迫进行创造性的思考，并可能决定将其日常安全操作外包给经验丰富的咨询企业，或利用虚拟CISO的领导服务。

6、网络保险将推动风险评估需求

网络保险费正在攀升，企业越来越难以负担或获得保险。为了协商保险费和更好的风险覆盖范围，企业将被要求提供广泛的安全领域的证据，以证明其遵守了领先的网络安全标准和最佳实践。

企业将开始进行企业风险评估，突出其网络安全计划的成熟度级别，并主动解决任何承保问题。在购买网络保险时，风险评估可以作为指导，确定优先事项，并确定可接受的风险和需要转移给保险公司的风险。风险评估可以帮助确定有关保险缺口、限制和覆盖范围的决策。

毫无疑问，2023年威胁形势将继续演变，可能与我们目前看到的速度相同，甚至更快。企业必须保持警惕，绝不妥协，并在需要时利用安全专业知识提供建议和指导。

调研机构通常会对行业在未来一年发展的趋势进行一些预测。由于网络安全是一个充满活力、有时甚至令人恐惧的领域，因此调研机构对其发展趋势进行了10个预测。

1、物联网遭受攻击

Hack The Box公司的首席执行官Haris Pylarinos曾是一名道德黑客。他表示，网络安全人员必须像网络罪犯一样思考，以确定2023年面临的最主要的网络威胁。

他预测2023年将出现物联网设备和传感器的入侵。

Pylarinos说，“业界人士低估了物联网攻击的危险性。掌握硬件技能对于防止灾难性网络攻击至关重要，而针对物联网的攻击可能会摧毁整个社会。”

2、创建安全文化

应对网络安全攻击、新的病毒和新兴威胁载体的方法通常是开发一套新的网络安全工具。

但是如今网络安全领域的工具太多了，并且变得越来越笨重。企业即使部署了所有最新的系统，却被告知还需要配置勒索软件保护或安全访问服务边缘(SASE)或零信任网络访问(ZTNA)等工具。这种情况似乎永远不会结束。

KnowBe4公司的战略洞察和研究高级副总裁Joanna Huisman认为，2023年企业将把重点转移到创建安全文化上。

Huisman说：“对大多数企业来说，需要进行安全意识培训，他们正开始从单纯的培训转向更加注重行为和文化。在全球范围内建立强大的安全文化已经有了更加积极的势头，这涉及到高管和员工群体的支持。”

3、零信任时代来临

零信任已经成为2022年的一个热门术语，但到目前为止，更多的是空谈而没有付诸实践。

Syxsense公司的首席执行官Ashley Leonard表示，“零信任技术在企业基础设施中的实际应用一直很有限。我对2023年的预测是，我们最终将看到零信任概念在企业IT环境中得到广泛应用。”

4、提高端点安全

Syxsense公司的Leonard还强调了端点在IT、计算能力和网络安全领域的角色变化。

端点安全近年来越来越突出，这一趋势将持续下去。而强调智能手机、个人电脑、服务器、平板电脑和笔记本电脑的安全性是有意义的，因为它们是防止网络入侵的第一线，以阻止网络攻击。除了网络安全，更多的任务将会外包给端点。

Leonard说：“近年来，企业将业务迁移云计算平台，它集中了计算资源和能力，但在很多情况下，功能强大的处理器和端点都没有得到充分利用。

如今由云计算管理的许多任务可以在端点更好地执行，这种情况将在2023年开始改变。作为其中的一部分，协调和自动化技术将是支持IT维护安全和服务的关键。”

5、针对Chrome的攻击

数据删除服务商Incogni公司分析了Chrome网络商店中1237个下载次数不低于1000次的Chrome扩展插件的风险情况。

研究表明，每两个Chrome扩展插件中就有一个(48.66%)具有非常高的风险，例如请求许可可能会暴露个人身份信息(PII)，分发广告软件和恶意软件，或记录用户的一切行为，包括他们在网上输入的密码和财务信息。预计在2023年，会有大量针对Chrome和浏览器扩展插件的攻击。

Surfshark公司的首席信息安全官Aleksandras Valentij说，“用户应谨慎对待需要以下权限的浏览器扩展：读取和更改访问的所有网站上的所有数据、音频捕获、浏览数据、剪贴板读取、桌面捕获、文件系统、地理位置、存储，以及视频捕获。在授予浏览器扩展权限时使用常识，例如广告阻止程序为什么需要音频捕获访问或访问文件系统。”

6、VPN将会失去份额

与之前的许多技术一样，虚拟专用网络(VPN)曾经是一项前沿技术。

随着时间的推移，世界的IT和商业环境已经取得了进步，而VPN基本保持不变。因此，VPN现在可能无法阻止黑客入侵，它们有时可能会使黑客的攻击更容易。企业可能会在2023年摆脱对VPN的依赖。

DH2i公司的联合创始人兼首席执行官Don Boxley表示：“采用VPN完成几乎不可能完成的任务，现在可以通过现代软件定义边界(SDP)来实现。”

Boxley表示，软件定义边界(SDP)使企业能够使用零信任网络访问隧道将任何对称网络地址转换(NAT)后的应用程序、服务器、物联网设备和用户连接到任何NAT，而无需重新配置网络或设置复杂且有问题的VPN。

7、Logji4漏洞将推动创新

Logj4漏洞是一个警钟，影响了全球将近十分之一的公司。

Platform.sh公司的隐私和安全副总裁Joey Stanford认为，通过鼓励企业雇佣有经验的开发人员来执行漏洞检查和更好的软件集成，为开源提供资金支持，Logj4漏洞将在2023年带来更安全的开源创新。

Stanford表示，还将在政府层面上采取行动，例如要求建立软件材料清单(SBOM)，以确保未来的软件项目更加安全，这将有利于使用和致力于开源的企业，并确认其在未来网络开发中的合法地位。

8、混沌工程将提高安全性

Quest公司的技术策略师和首席工程师Adrian Moir表示，在未来一年，企业将改进他们的数据安全测试流程，越来越多地部署混沌工程来增强企业的弹性。

混沌工程最初是为开发人员测试而构建的，它可以帮助IT团队测试恢复操作以及应用程序和数据传输管道。通过定期测试企业数据保护设备的每个部分，团队将能够确认从不可变数据存储到可复制性的恢复技术有效地工作。

Moir说：“鉴于勒索软件、自然灾害和其他业务干扰因素，企业高层将弹性和风险降低作为更高的优先级，预计企业将把这一点作为常规数据保护业务的一部分。”

9、商业电子邮件泄露(BEC)驱动MFA的采用

商业电子邮件泄露(BEC)将继续成为网络攻击者的首要攻击方法，也是进入企业系统的最简单方法。

随着零日攻击的增加，需要考虑减少外部可用的足迹。因此，商业电子邮件泄露(BEC)将推动多因素身份验证(MFA)的采用。

新一代管理服务提供商Thrive公司的首席信息安全官Chip Gibbons表示，“多因素身份验证(MFA)将无处不在，没有它，任何东西都不能从外部获得。”

10、风险管理的优先级

在谈到网络风险的治理和监督时，VMware公司的高级网络安全策略师Karen Worstell认为，由于网络固有的更高风险，以及通常脆弱的企业声誉，整个体系已经崩溃。

Worstell说：“因此，企业将加倍加强网络风险管理。在确保充分控制和报告网络攻击的过程中，董事会需要有更明确的角色和责任。网络风险治理不仅仅是首席信息安全官的主要责任。现在，这显然是一个企业主管级别的问题。在风险管理问题上，不能进行推诿。”

缓解风险

Codeproof公司的首席执行官Satish Shetty为此提出了一些建议，这将帮助企业降低风险，以避免成为媒体的头条新闻：

对员工进行网络安全培训，并告知不要点击钓鱼链接或从外部邮件下载附件。

• 使用Slack和Microsoft Teams等应用程序进行内部沟通。
• 主要使用电子邮件进行对外交流。
• 迁移到基于云的电子邮件服务，例如Microsoft 365或Google Workspace，而不是使用内部电子邮件服务器。
• 部署移动设备管理(MDM)和移动威胁防御(MTD)软件，以保护移动和便携式设备，利用其执行安全配置的能力。
• 在线账户使用强密码和双重身份验证。