當一開始擔任一家零售企業的信息安全管理者時，處理IT安全問題還是相對簡單的。但是隨着社會的發展，傳統行業逐漸向數字經濟、雲平臺、物聯網靠攏，以支持企業的數字化商業，隨之而來的還有網絡安全問題。
此外，越來越多的網絡攻擊和網絡釣魚使得人們很難知道應該關注哪些安全項目，以及從哪裏獲得最大投產比。
首先應該關注能夠高度解決企業業務的安全項目，安全與風險管理者經常被維護現有安全項目和提出新安全項目的雙重任務轟炸。
Gartner高級總監分析師布萊恩•裏德表示：“新的安全項目中應該重點關注那些能夠高度解讀業務問題的安全項目。”
Gartner爲已採取一切基本措施的組織確定了10個安全項目。
01
特權訪問管理(PAM)
高度授權的賬戶（或者說特權賬戶）對網絡攻擊者很有吸引力。
PAM項目將突出應用於保護這些賬戶，這些帳戶應該通過基於風險的方法進行優先級排序。
PAM項目應該涵蓋人工和非人工系統帳戶，並支持內部環境、雲環境和混合環境的組合，以及用於自動化的應用程序編程出口。
02
符合CARTA理論的弱點管理
安全團隊無法處理大量的漏洞，也無法對所有問題進行修補。
因此，供應鏈關係管理應該關注一種“持續的自適應風險和信任管理”(CARTA)安全方法，其中安全在任何地方、任何時間都是自適應的。
這要求信息安全管理者建立IT資產的業務價值，以及強調與之相關的風險來強調關注這些資產的重要性。
此外，組織必須瞭解網絡拓撲結構和IT基礎設施的改變形式
03
檢測與應急響應
完美的保護選項並不存在，但是信息安全管理者應該考慮檢測和響應項目。
問如下幾個問題：
如何收集和存儲數據以支持檢測和響應功能?
該技術是否具有各種各樣的檢測和響應特性，或利用折衷指標的能力?
測試任何聲稱擁有人工智能或機器學習能力的供應商。如果你已經擁有端點保護平臺，請將該平臺視爲提供端點檢測和響應的選項。對於託管安全服務方法，請考慮將信息提供給託管提供者的項目。確保徹底測試任何聲稱擁有人工智能或機器學習能力的供應商。
04
雲訪問安全代理
雲訪問安全代理爲採用多個軟件即服務應用程序的組織提供了可見性和管理方法。
通過雲應用程序發現暴露在外的“影子IT”（影子IT：企業員工使用沒有經IT批准的應用程序），從而證明這種類型的項目是正確的。
評估組織是否對SaaS應用程序使用和共享的敏感數據具有控制和可見性。然後確定每個基於雲的服務所需的可見性和控制級別。簽訂短期合同，發現和保護敏感數據，這是很重要的一個點。
05
雲安全配置管理
雖然雲服務提供高度自動化和用戶自助服務，但幾乎所有的雲攻擊都是客戶配置錯誤、管理不善和操作錯誤的結果。
雲安全配置管理可以降低雲風險，如果企業只使用一個基礎設施即服務（IaaS）平臺，請查看是否有云安全配置管理選項。
如果沒有，請確保雲安全配置管理支持企業正在使用的多個雲。基於雲的雲安全配置管理選項將能夠基於評估結果進行自動化更改，但是如果企業已經(或正在考慮)使用雲訪問安全代理（CASB），那麼市場領導者已經擁有了開發良好的雲安全配置管理條件。
06
商業郵件失陷
一個商務電子郵件折衷項目可以幫助安全風險領導者處理釣魚攻擊和定義不清的業務流程。
這些項目關注於技術控制以及特定於組織的過程分解。可定製的機器學習選項可以與當前的電子郵件安全系統集成，安全和風險領導者可以向當前的電子郵件安全供應商尋求提供這些控制，並將項目與安全意識培訓和其他端點保護集成在一起。
07
暗數據發現
在進行數據中心整合或雲遷移之前，先進行暗數據發現。
暗數據是指那些沒有什麼價值和帶有風險的數據。
減少企業數據佔用足跡不僅可以降低安全風險，還可以減少對GDPR和其他法規的風險暴露。查看跨多個數據豎井駐留的數據，專注於爲所有存儲敏感數據的系統提供廣泛數據存儲庫支持的供應商。
08
安全事件響應
安全事件需要規劃、準備和適當的反應。該項目可能集中於更新現有計劃或完全重新處理響應。
評估你目前的反應水平和計劃可以改進的地方。
考慮來自提供程序的事件響應保留器，它提供了處理主動和被動任務所需的靈活性。
09
容器安全
開發人員越來越多地使用Linux容器來更快地通過開發管道推動數字業務功能，但是在投入生產之前，必須對每個容器進行漏洞和問題的篩選。
容器安全性必須與常見的開發人員工具和CI/CD管道集成，並與全面的應用程序編程接口一起使用，以支持各種安全工具。
首先掃描已知的漏洞和配置問題，然後將該策略擴展到運行時生產。更高級的解決方案可以爲每個容器構建一個詳細的“材料清單”，並將其與運行時實際使用的內容進行比較，以推薦可以刪除庫和代碼的位置。
10
安全評級服務
隨着數字生態系統的複雜性增加，安全風險也隨之增加。除了內部安全和風險之外，安全和風險領導者還必須考慮供應商、監管機構、客戶、業務夥伴和平臺。
利用安全評級服務爲您的整個數字生態系統提供實時、低成本、連續和獨立的評分。這隻應作爲一種補充，這不是一個全面的觀點，但這些服務是重要的創新。根據您的需求評估多個供應商，並確保將安全評級服務用作選擇標準的一部分。