許多企業正為流程、工具、安全團隊和IT運營團隊的配合而頭疼不已。

[[200098]]

2017年安全預算持續走高，通常情況下，這些花銷被用于提高安全運營水平。根據最近發布的ESG環境、社會和治理研究，81%的網絡安全專家認為企業應優先改善安全分析和運營水平。

所以，具體該從哪里著手呢?ESG研究報告也顯示了企業所缺乏的東西。比如：

• 72%的受訪者同意或堅信以下觀點：企業的安全分析和運營由少數幾個關鍵人員全權負責的。當然了，這些人本身是稀缺資源，他們如果跳槽去別處，完全可以漲薪20%左右。首席網絡安全執行官必須竭盡所能地通過財務、教育、事業規劃和生活方式等手段留住他們。
• 64%的受訪者同意或堅信以下觀點：由于大量的新IT項目在醞釀，企業的安全分析和運營水平很難到位。每當新項目蓄勢待發時，安全團隊都被要求“專心”安全而不能“越俎代庖”。要改善這個問題，真的取決于安全團隊能否更多地參與業務本身。
• 63%的受訪者同意或堅信以下觀點：安全分析和運營流程遠不夠規范。在這種情況下，關鍵員工獨攬安全運營，其他人則靠邊站。不幸的是，這樣的非正式流程不能推廣或幫助新員工。首席信息安全官必須學習正規的網絡安全框架(如ISO和NIST)、從事最適合的方面、建立自己的文檔框架并虔誠地遵循這些。
• 60%的受訪者同意或堅信以下觀點：安全分析和運營的效果很有限，原因之一是它建立在太多的人工環節之上。在這種情況下，首席信息安全官必須評估和記錄這些環節，創建規范的操作手冊，然后使用自動化/編制技術來提高運營效率。對人工環節的改革引發了技術市場的一連串事件：IBM的Resilient并購案、FireEye的Invotas并購案、Rapid7的Komand并購案、微軟的Hexadite并購案都在此列。
• 59%的受訪者同意或堅信以下觀點：安全分析和運營的效果很有限，這得怨安全團隊和IT運營團隊的協作關系中存在的問題。如果你想知道為什么ServiceNow和其Saas(軟件即服務)模式在事件反應方面始終如此成功，看看這個數據。安全團隊和IT運營團隊往往有不同的目標、指標和薪酬方案，這導致協作中的沖突不斷。首席信息安全官和首席安全官需要領導這兩個部門的合作。兩個團隊如果“查同一本字典”，這并不是什么壞事，所以相同的工具或集成體系結構(比如ESG的SOAPA)也會有所幫助。
• 58%的受訪者同意或堅信以下觀點：安全分析和運營的效果很有限，原因之一是因為員工的技能差距。全球正再次面臨著網絡安全技能短缺的困境。除了招聘和培訓，首席信息安全官必須尋找新類型的智能安全分析技術、自動化/編排的安全運營流程，或者尋找能填補空白的第三方服務供應商來保證現有的網絡安全人員有足夠的工作能力。

安全分析和運營是項復雜的工程，它需要的不僅僅是某個杰出的員工。規范的流程、環節自動化/編排、安全團隊和IT團隊間的緊密合作應當是所有首席信息安全官的首要任務。