Gartner：十大安全发展趋势预测

关键词：安全，漏洞管理，数据，IDaaS，CASB，物联网

薄弱的内部代码、云环境下数据以及物联网将成为下一阶段攻击活动的主要对象。

IT 安全人员需要更好地应对已知风险、密切关注影子 IT 设备带来的价值，同时解决由物联网装置引入所带来的相应漏洞，Gartner 方面表示。

作为一家咨询企业，Gartner 在今年年内着眼于五大关键性安全关注方向，并立足于此提出与之相关的威胁预测与安全建议。

而这五大关注方向分别为威胁与漏洞管理、应用与数据安全、网络与移动安全、身份与访问管理外加物联网安全。Gartner 公司的分析结论由分析师 Earl Perkins 在最近的安全与风险管理峰会上正式公布。

而其中最为重要的建议在于，努力避免破坏性后果式的安全管理策略已经无法为企业带来切实有效的保护。

他同时建议称，安全人员应当根据可能影响到企业及其业务目标的已知风险进行网络与资源保护决策。相较于单纯扮演保护者的角色，如今他们应当将安全工作视为促进并保障业务成果的手段。

下面来看各具体预测与建议内容：

威胁与漏洞管理

预测：到 2020年，99%的漏洞利用行为都将每年至少出现一次，安全与 IT 专业人士必须对此做好心理准备。

攻击者们越来越多地着眼于应用程序中的漏洞以及可利用配置失误，而企业必须采取快节奏方式修复这些漏洞。如果做不到这一点，那么系统受损与数据泄露将给其带来可怕的经济损失。

预测：到 2020年，成功入侵企业的攻击活动中约有三分之一源自影子 IT。

对于越来越多业务部门在不知会安全团队的情况下采用新技术的行为，安全人员必须加以关注，Perkins 指出。事实上，大多数此类新型技术还不够成熟，且其中包含有可被用于攻击活动的安全漏洞。

应用与数据安全

预测：到 2018年，对公有云内数据的保护需求将使得 20%企业开发出数据安全治理方案。

数据安全治理工作将受到保险企业的大力推动，而尚不具备相当治理方案的企业在投保时将面临更为高昂的保费标准。

预测：到 2020年，在采纳 DevOps 理念的企业中，将有 40%通过部署应用安全自测试、自诊断与自保护技术实现应用安全保护。

Perkins 在这里将运行时应用自保护（简称 RASP）这正在发展的技术方案视为解决应用内安全漏洞的重要手段，它也将为 DevOps 团队快速行动方针下可能带来的潜在问题找到解决办法。RASP 能够快速起效并准确地提供与实际漏洞相关的保护机制，他解释称。

网络与移动安全

预测：到 2020年，80%的云访问安全代理（简称 CASB）业务将包含网络防火墙、安全 Web 网关（简称 SWG）以及 Web 应用防火墙（简称 WAF）平台。

传统网络安全产品——例如防火墙、SWG 以及 WAF——供应商希望帮助其客户保护 SaaS 应用，而 CASB 能够高效实现这项工作，他指出。企业客户应当根据自身应用部署评估是否有必要采用 CASB，同时考虑目前各传统技术供应商提供的对应报价。

身份与访问管理

预测：到 2019年，40%的身份即服务（简称 IDaaS）方案将取代内部 IAM 方案，远高于目前的 10%。

IDaaS 使用比例的提升意味着 IAM 基础设施的生存空间将逐渐被其挤占，而其它即服务类型方案的普及则将提升决策制定效果。越来越多的 Web 与移动应用产品将促使企业自发地由内部 IAM 转向 IDaaS，他表示。

预测：到 2019年，在中等风险用例内，密码与令牌使用比例将降低 55%，其它新型识别技术将取而代之。

随着生物识别准确度的提升与成本的不断下降，其已经成为验证体系中一大相当可行的选项。将用户特征与行为习惯分析加以结合，这项技术能够带来更为出色的验证成效，Perkins 解释称。

物联网安全

预测：从现在开始到 2018年，超过半数物联网设备制造商将由于薄弱的验证实践方案而无法保障产品安全。

物联网设备目前在制造过程中仍然很少考虑到安全性需求，而且由于其存在于网络环境中，因此一旦出现恶意入侵，其很可能造成网络受损及数据泄露，Perkins 强调道。企业需要利用一套框架来检测各物联网设备类型的风险，并对其加以有效控制。

预测：到 2020年，将有超过四分之一企业切实引入物联网方案，然而相关 IT 安全预算却只占总额中的 10%。

由于安全专家无法确认物联网设备对于企业安全造成的具体影响，因此业务部门需要介入进入，立足于使用方式思考潜在风险。安全专家应当根据需要为物联网安全工作划拨整体安全预算的 5%到 10%比例，他指出。