信息安全領(lǐng)域長期以來一直面臨“人手不足”和“資金短缺”的困境，而這種情況的存在遠(yuǎn)早于COVID-19。在當(dāng)前經(jīng)濟(jì)進(jìn)入低迷時期，這種壓力越來越大，研究公司Pulse于6月4日發(fā)布的一份報告中指出，23%的安全預(yù)算目前正處于凍結(jié)狀態(tài)，并且整體預(yù)算削減了49%。
因此，當(dāng)首席執(zhí)行官要求您削減本就資源不足的預(yù)算時，首席信息安全官(CISO)應(yīng)該從何入手呢?更具體地說，是否存在一種方法可以使這些削減措施在經(jīng)濟(jì)衰退結(jié)束后也同樣具有存在的意義?以下是安全顧問、供應(yīng)商和CISO們總結(jié)的5大參考意見：
1.識別重疊技術(shù)
在人員、流程和技術(shù)的“金三角”中，首先需要考慮的就是技術(shù)——即公司已經(jīng)擁有的軟件。CyxteraFederalGroup總裁兼首席信息安全官LeoTaddeo表示：
“尋找那些已經(jīng)將創(chuàng)新轉(zhuǎn)化成效率的領(lǐng)域。由于許多技術(shù)供應(yīng)商都在不斷添加新功能，因此在初次啟動時可能尚不存在重疊之處。以您當(dāng)前的端點保護(hù)套件為例，它還可能提供重要的防病毒保護(hù)功能，如果首席安全官對這兩者都進(jìn)行了投資，那么這就是節(jié)省成本的領(lǐng)域。”
此外，還可以與其他部門合作，看看他們都在使用什么技術(shù)。識別“影子IT”一直是一件非常困難的事情，因此必須從已知的系統(tǒng)入手，尤其是那些使用更為廣泛的系統(tǒng)。Taddeo表示，現(xiàn)有平臺(例如Windows10)中也可能存在一些功能，這些功能使首席信息安全官只需打開安全功能即可減輕風(fēng)險。
無論你從哪里找出這些軟件，消除工具冗余都是一種節(jié)省成本的有效措施，即使預(yù)算恢復(fù)正常后，您可能也希望繼續(xù)保留這項措施。正如零信任網(wǎng)絡(luò)訪問解決方案提供商AppgateFederal總裁GregTouhill所說：
“首席安全官們應(yīng)該一直在尋找更有效、更便捷和更安全的機(jī)會，不管是否爆發(fā)此次疫情。”
2.重新協(xié)商供應(yīng)商合同
SumoLogic公司首席安全官GeorgeGerchow表示，對于部門最終決定保留的工具，可以嘗試通過“與供應(yīng)商重新接觸來盡可能獲取最佳價格”以實現(xiàn)削減成本的目標(biāo)。他說：
“目前，每個供應(yīng)商都在拼命維護(hù)自己的客戶群。因此，點解決方案必須降低價格才能與套件解決方案競爭。這也就意味著套件解決方案可能會給出一個許可證折扣。”
供應(yīng)商ServiceNow的安全運營總經(jīng)理JeffHausman建議，如果可能的話，團(tuán)隊?wèi)?yīng)該從永久許可轉(zhuǎn)向訂閱模式，以實現(xiàn)預(yù)算靈活性。
Gerchow表示：
“按數(shù)據(jù)使用量收費的平臺必須在按數(shù)據(jù)類型和搜索頻率收費方面做做文章。”
服務(wù)提供商Bionic的首席執(zhí)行官MarkOrlando也提出了類似的建議：
“縮減基于數(shù)據(jù)量或其他可變指標(biāo)的任何技術(shù)許可。尋找方法，通過減少無法采取行動或變得過時的數(shù)據(jù)饋送，來減少許可費用，或者至少合并并共同確定這些支持合同以發(fā)現(xiàn)重疊，并獲得暫時的付款減免。”
如果供應(yīng)商不愿談判，則Hausman和Gerchow都建議過渡到開源替代方案。
3.使用技術(shù)降低與人相關(guān)的成本
在當(dāng)前環(huán)境中，削減預(yù)算確實存在諸多困難，但可能也存在一個積極的影響——這正是促使安全操作自動化的好時機(jī)。不可否認(rèn)，所有的體力勞動耗費了安全團(tuán)隊的大量時間，如果您的CEO愿意花一點錢來節(jié)省更多錢，那么是時候做出改變了，購買那些您一直想要的自動化工具吧。
Hausman建議首席信息安全官應(yīng)用80/20規(guī)則，這是一種商業(yè)理論，也稱為“帕累托原則”(ParetoPrinciple)，該原則指出80%的結(jié)果僅來自20%的努力。Hausman解釋稱，
“您的團(tuán)隊打發(fā)時間的前五種方式是什么?這些活動是否符合公司和部門的目標(biāo)?現(xiàn)成的工作流程可以安全地處理特定領(lǐng)域，例如數(shù)據(jù)收集，優(yōu)先級劃分，事件合并和補(bǔ)救分配。”
Touhill表示，這種方法對實現(xiàn)零信任可能特別有幫助，例如，軟件定義的邊界領(lǐng)域的新創(chuàng)新提高了策略在“降低成本的同時，幫助您淘汰老年人等人力密集型技術(shù)，例如虛擬專用網(wǎng)絡(luò)和網(wǎng)絡(luò)訪問控制(NAC)系統(tǒng)”。據(jù)Pulse調(diào)查數(shù)據(jù)顯示，虛擬專用網(wǎng)絡(luò)是5月36%的網(wǎng)絡(luò)安全團(tuán)隊最常使用的“新預(yù)算項目”時，這真是一個有趣的現(xiàn)象。
高層管理人員現(xiàn)在可能不想看到任何類型的支出，但是如果老板愿意接受創(chuàng)新思維，請嘗試?yán)萌肆Y源成本購買旨在減少部門工作量的軟件，從而實現(xiàn)收益最大化。有些工具可能很昂貴，但是比招聘一名新員工所需的薪水和福利又如何?此外，這種方法還可以幫助您在預(yù)算恢復(fù)時為購買其他愿望清單技術(shù)樹立先例。
4.謹(jǐn)慎裁員
如果您想要削減預(yù)算，那么不幸的是裁員可以做到，6月份的失業(yè)數(shù)據(jù)顯示，新冠疫情期間，有超過3000萬美國人失業(yè)。在網(wǎng)絡(luò)安全方面，Pulse公司于6月份公布的調(diào)查數(shù)據(jù)顯示，在4月或5月期間，有48%的數(shù)據(jù)安全團(tuán)隊“因COVID-19而削減了人員”，而40%的數(shù)據(jù)安全團(tuán)隊計劃讓人們在11月之前離開。
Bionic公司的Orlando表示：
“失去熟練的團(tuán)隊成員將對團(tuán)隊的士氣產(chǎn)生持久性影響，并阻礙未來的招募工作。因此，對于那些希望在危機(jī)過后繼續(xù)保持某種能力的安全高管來說，裁員應(yīng)該是迫不得已的最后選擇。”
未來的某一天，COVID-19帶來的經(jīng)濟(jì)危機(jī)終將結(jié)束。讓員工在處理健康問題、育兒問題以及接下來可能會被解雇的擔(dān)憂中加班工作，并不能提高員工的忠誠度。正如Touhill所指出的那樣，人員、培訓(xùn)和許可成本構(gòu)成了大多數(shù)安全預(yù)算的絕大部分。現(xiàn)在變得討厭您的員工很可能會在COVID-19之后辭職，從而增加了替換員工的人員和培訓(xùn)成本。所以請記住，我們的目標(biāo)是找到在不損害未來安全性的前提下削減預(yù)算的方法。
5.不管怎樣，請牢記你的目標(biāo)
對于安全領(lǐng)導(dǎo)者來說，始終保持目標(biāo)集中很重要。Orlando表示，無論是確定今天還是未來任何時候裁員時，總體策略是相同的：“將安全團(tuán)隊章程分解到一個分子水平，決定您可以承受的損失并完成工作。”歸根結(jié)底，堅持這種單一指導(dǎo)策略將告訴您應(yīng)該削減和不應(yīng)削減的內(nèi)容。
