仅仅投入资金 或许并不能保证企业网络安全

日前，全球咨询公司EY（安永）的一份新报告表明，网络安全将会继续是一个战术问题，而不仅是战略问题。

安永的这次网络安全状况评估是基于对1400位C级网络安全和风险领导者进行的调查，结果显示，只有8%的受访者认为他们的信息安全功能完全符合自己的要求。事实上，仅有18%的受访者表示信息完全会定期全面影响企业战略计划，60%的受访者表示直接负责信息安全的人并不是董事会成员。

积极的一面是，大公司78%的受访者和小公司65%的受访者认为他们的信息安全功能至少部分满足了他们的需求。调查还发现，大部分公司都愿意对网络安全问题投入资金。大公司今年和明年的网络安全预算分别增加了63%和67%。小公司今年和明年的IT支出预算也分别增加了50%和66%。

特别是，该研究还表明云计算（52%）、网络安全分析（38%）和移动计算（33%）是网络安全投资的首要重点。报告发现，大部分组织（77%）都在寻求超越基本网络安全保护，开始采用人工智能、机器人过程自动化和分析等先进技术。

显然，高层领导者意识到了情况的严重性。70%的公司（大公司和小公司分别为73%和68%）表示，高层领导者全面了解安全情况或者正在采取改进安全的相关措施。但是了解某件事与操作某件事是两个完全不同的概念。如果金钱和技术可以解决这个问题，网络安全就不会成为今天的问题。这也是在大多数公司里需要从根本上改变的问题。最后可以归结为如何构建业务流程。

大多数业务流程的搭建方式都是为了让它们尽可能地高效顺畅。搭建完成后，就会将它们交给IT团队来确保安全，网络安全几乎都是事后的想法。随着更多业务流程的性质向数字发展，需要采用新的方法，数字业务流程的每个独特环节在搭建时就必须得到保护。

    数字业务流程的安全性取决于其中最薄弱的环节。让一组网络安全专家解构一个构建后的数字业务流程，找出漏洞可能隐藏在哪里，这在根本上是低效的并且存在严重缺陷。在编写数字业务流程的每一行代码时，就需要采用最佳的DevSecOps实践来保护流程的每个组成部分。

     这意味着在应用程序和流程的构建过程中，将执行安全控制的更多责任转移给开发人员。DevSecOps并没有简单的按钮。它需要从根本上转变对如何构建和交付应用程序的思维模式。但是如果高层领导者真正希望改进网络安全，需要像梭子鱼等厂商般提供硬件、虚拟设备、云和混合部署的IT解决方案以实现对企业网络的安全保护。