应对企业网络安全技能短缺的“两方向 七方法”

2022年网络安全公司Fortinet进行了一项研究，发现80%的企业遭受了一次或多次网络安全领域的违规行为，主要归因于员工网络安全技能和意识的缺乏。其中64%的企业因违规行为造成了一定收入损失，38%的企业损失超过100万美元。同时，研究还发现有60%的受访企业表示他们正在努力招聘网络安全领域的人才，有52%的企业表示很难留住网络安全人才，还有67%的企业表示人才的短缺会造成巨大安全风险。所以，对于这些存在网络安全技能短缺的企业来讲，采用双管齐下的方法，提高员工安全意识和技能并降低企业安全风险是一个有效的应对措施。



培养员工的安全意识和技能

1、对现有员工进行再投资
企业组织架构中的现有员工在长时间的工作流程中已经可以很好地掌握IT基础设施，对相关员工进行再投资，增加其网络安全技能，可以有效维护IT基础设施的安全。同时，对员工的再培养也有助于企业留用优秀员工，维护企业的人力资本。

2、招募IT安全分析师
IT安全分析师研究世界各地的网络安全趋势和安全事件，便于企业预测未来的安全威胁，提前做好应对准备。目前，大多数公司都没有设置该职位，这就导致一旦有新的网络安全威胁出现，企业就会措手不及。网络罪犯无时无刻都在寻找着下一个最佳攻击目标，所以企业应该在安全方面具有前瞻性和积极主动性。
 
3、创建网络安全预算储备
为尽早解决网络安全威胁，企业必须有充足的预算资金。面对这些不可预见的网络攻击，企业应该具有针对性地制定储备预算，并尽量缩短审批流程，在短时间内解决问题。
 
4、安全意识成为企业文化
员工是安全风险的主要来源之一，但不幸的是，许多企业的员工安全培训只包括了用户名和密码的基本知识，网络安全相关的信息可能只会存在于无人阅读的员工手册中。所以企业应该重点强调安全意识，甚至让网络安全成为企业文化。同时，对于员工的安全培训、网络安全实践应全面、清晰地记录在案，每年进行审查，并由CEO、CIO、HR和其他C级高管等持续强调，以便让安全意识在员工心中根深蒂固。

降低企业的安全风险

1、定期进行安全风险评估
对于有能力组建内部审计部门的企业，至少每个季度都进行一次安全漏洞的审计。对于没有办法组建的企业也应该每年都为外部审计提供预算。外部审计应包括检查IT系统和网络、安全漏洞测试以及对安全规则和程序的审查，还应该包括整个企业员工安全实践的审查。
 
2、在需求建议书（RFP）中包含网络安全部分
除了企业内部的网络安全措施以外，在与IT供应商或外部供应商签署的RFP中也应该包括企业的安全标准。让企业的合作伙伴明白，其系统或实践中的安全性是开展合作的先决条件。
 
3、保护边缘企业
据估计，到2030年全球将有超过250亿台的物联网设备投入使用。随着远程办公的流行以及IT逐渐向企业边缘分布，IT部门必须为边缘企业提供与数据中心相同的强大安全性。要维护边缘，IT部门需要做以下六件事：
（1）实现网络零信任，可以管控员工访问权限的级别。
（2）为所有边缘IT资产及时进行安全更新。
（3）提高所有物联网设备的安全性。
（4）当IT设备不使用时，及时、安全地处理。
（5）确保边缘企业的员工和经理接受网络安全培训。
（6）将物联网边缘和云计算包含在企业DR计划中并进行测试。