有四个常见的神话掩盖了网络安全对企业的全部价值，并抑制了网络安全的发展安全程序的有效性根据Gartner, Inc.的数据。首席信息安全官必须拥有“最低效率”的心态，以最大限度地发挥网络安全对业务的影响。

“很多首席信息安全官已经筋疲力尽了而且觉得自己很难控制压力源或工作与生活的平衡。•恩里克•特谢拉他是Gartner的高级主管分析师。“网络安全领导者和他们的团队正在付出最大的努力，但并没有产生最大的影响。”

“一个最低有效心态是一种深思熟虑的、以投资回报为导向的方法，可以引领网络安全走向未来。利McMullenGartner杰出副总裁分析师。“虽然‘最小’的概念可能看起来不太舒服，但它指的是投入，而不是结果。这种方法将使网络安全职能不仅仅是‘保卫堡垒’，而是释放其创造有形价值的真正潜力。”

在开幕式的主题演讲中Gartner安全与风险管理峰会在本次会议上，Teixeira和McMullen揭穿了四个常见的安全迷思，并解释了安全领导者如何在业务参与、技术和人才方面创造新价值。

误解1:更多的数据等于更好的保护

人们普遍认为，推动执行决策者在网络安全举措方面采取行动的最佳方式是通过复杂的数据分析，例如计算网络事件发生的可能性。然而，以这种方式量化风险是不实际的。此外，这种方法并没有在网络安全和企业决策者之间提供共同的责任，这对于实质性地降低业务风险是必要的。高德纳(Gartner)的研究发现，只有三分之一的首席信息安全官表示，他们通过网络风险量化成功地推动了行动。

精明的首席信息安全官不会继续追求更多的数据和更多的分析最小有效洞察力”特谢拉说。“确定企业网络安全资金与资金所解决的漏洞数量之间的最少量信息。”

ciso应该使用结果驱动的度量(ODM)方法来实现最小有效洞察。odm通过解释当前的保护级别和基于支出的可选保护级别，将安全和风险操作指标与他们支持的业务结果联系起来。

误解2:更多的技术等于更好的保护

到2023年，全球在信息安全和风险管理产品和服务方面的支出预计将增长12.7%，达到1898亿美元。然而，即使企业在网络安全工具和技术上投入更多，安全负责人仍然觉得他们没有得到适当的保护。

麦克马伦表示:“网络安全常常陷入一种购买设备的心态，认为不久就会有更好的东西出现。”相反，首席信息安全官们必须拥抱一个新的时代最小有效工具集-观察、防御和应对暴露所需的最少技术。这将使网络安全拥有自己的架构，降低复杂性缺乏互操作性使得很难从技术投资中产生价值。”

组织可以从人力成本的角度出发，使网络专业人员管理网络安全工具的开销低于该工具在降低风险方面的好处，从而开始实现最低有效工具集的旅程。同时，采用体系结构的观点来度量任何给定的工具是增加还是减少了保护企业的能力。网络安全网格体系结构(CSMA)原则也可以在简单性、可组合性和互操作性的设计中支持安全性。

误解3:更多的网络安全专业人员等于更好的保护

麦克马伦说:“网络安全人才供不应求，以至于首席信息安全官无法赶上。”“安全是数字化转型的巨大瓶颈，这在很大程度上是因为只有网络安全专业人员才能从事严肃的网络工作的神话。将网络安全专业知识民主化，而不是试图通过招聘填补人才缺口，才是解决方案。”

高德纳预测，到2027年，75%的员工将获得、修改或创造IT可见性之外的技术，高于2022年的41%。ciso可以通过帮助这些业务技术人员构建来减轻他们团队的负担最低有效专业知识或者网络判断。高德纳(Gartner)最近的一项调查发现，在开发分析或技术能力时，具有高网络判断力的业务技术人员考虑网络安全风险的可能性要高出2.5倍。

误解4:更多控制意味着更好的保护

高德纳(Gartner)最近的一项调查发现，69%的员工在过去12个月里绕过了组织的网络安全指导，74%的员工愿意绕过网络安全指导，如果这有助于他们或他们的团队实现业务目标。

“网络安全组织非常清楚员工普遍存在不安全行为，但增加更多控制的典型反应是适得其反，”特谢拉说。“员工报告说，安全行为与大量摩擦有关，这导致了不安全行为。规避控制措施比没有控制措施更糟糕。”

最小有效摩擦重新平衡网络安全对安全控制性能的评估，优先考虑用户体验，而不仅仅是技术功能。Gartner预测，到2027年，50%的大型企业首席信息安全官将采用以人为本的安全设计尽量减少网络安全引起的摩擦和最大限度地采用控制的做法。

在免费的Gartner电子书中学习如何成为一个有效的网络安全领导者有效的CISO领导的四个方面。

Gartner安全与风险管理峰会
Gartner分析师将在6月5日至7日举行的Gartner安全与风险管理峰会上为安全和风险管理领导者提供最新研究和建议马里兰州国家港7月26日至28日东京9月26日至28日伦敦。在Twitter上关注会议的新闻和更新# GartnerSEC。

beplay首页关于Gartner网络安全领导者
Gartner为网络安全领导者提供工具，帮助安全领导者重新定义角色，使安全战略与业务目标保持一致，并建立计划以平衡保护与组织需求。更多资料请浏览//m.painthause.com/en/cybersecurity。