【安在 ·管窥蠡测】疲惫，才是网络安全最大的威胁

当下，网络犯罪对行业和个人构成了重大威胁。比如随着信息化的飞速发展，数据资产高度汇聚，价值越来越高，因此勒索软件攻击频发；再比如随着AI技术的更迭，随着CHTA GPT的风靡，人工智能所带来的安全事件也成了全新的威胁；此外，近年来国际形势愈发紧张，国家之间的网络战也开始了暗流涌动，这些都是网络威胁越来越严重的铁证。

然而，除了“围绕攻防”的网络犯罪在荼毒各行各业，我们也需要警惕其他一些不那么明显但同样具有破坏性的问题，比如“职业倦怠”。盖洛普首席执行官Jon Clifton表示，网络安全从业人员的倦怠问题是网络空间的新型威胁。


“全球的网络安全专家和IT专业人士都正在经历高度的倦怠问题。这导致了生产力下降，也使得工作压力不断增加，专业人员要么无法及时应对事件，要么索性直接辞职。”

安全公司Hadamard的研究表明，超过40%的网络安全从业人员认为自己无法充分应对他们所面临的各种威胁，另有43%的受访者表示，公司令他们几乎没有能力去应对潜在威胁。事实上，1/4的安全从业人员觉得，由于网络安全事件的类型太多，如果只让他们自己去应对各类威胁，几乎是不可能的事。



倦怠导致生产力下降
Clifton介绍，Sophos and Tech Research Asia的一份报告得出了这样的结论：亚太地区90%的安全从业者都在经历倦怠和资源匮乏等问题。其中，来自澳大利亚、印度、马来西亚、新加坡和菲律宾等国的受访者声称，他们所经历的倦怠程度是最高的；同时，印度和日本等国网络安全从业人员的倦怠感也有所增加。
根据该报告，这种程度的倦怠会导致生产力平均每周下降4.1个小时。而最令人担忧的是，17%的网络安全人员表示，倦怠是安全漏洞的直接原因。比如，当网络安全事件突发时，倦怠可能会导致响应时间变慢。Clifton对此表示，在精疲力竭的状态下，某些网络安全人员会表现得不够积极，这也可能会导致网络安全风险。
此外，1/3的受访者报告称，在安全漏洞发生或组织被攻击期间，他们的焦虑程度会剧增。整个亚太地区，已经有许多安全从业人员开始选择辞职或改行，还有些安全人员则情愿主动降低薪资或职业地位，以更好地减轻工作压力，减少工作任务，也不愿朝上发展，简而言之就是他们选择在工作中“摸鱼”。

是什么导致了倦怠？
Sophos的报告指出，职业倦怠的主要原因来自行业职责、资源短缺和管理压力。Clifton表示，安全人员通常缺乏可用于支持网络安全活动的资源，这包括了人员上的短缺、预算上的限制和第三方的有限支持。“安全资源稀缺是老生常谈的问题了，几乎每个国家，各行各业都面临着这样的问题。这是因为企业难以摆脱‘安全部门是成本中心’的刻板印象，总觉得日常投资安全不是一件划算的买卖，所以他们情愿冒着风险在复杂的互联网环境中豪赌，其做派更像是投机。当然，经济下行的趋势里，这也是许多组织的无奈之举。”
其次，行业职责方面，安全人员的日常运营总是偏向枯燥，漏扫、测试、告警分析、整理资产等，都是反复、单一的工作内容，而一旦发生安全事件，其挑战性会骤增，让人感觉工作内容的反差极大，难以把控。Clifton指出，警报过载就是在此基础上逐渐消磨安全人员意志的。
“安全人员在面临来自工具和系统的持续警报时，会感到无比烦忧，因为其中可能混杂着真正的网络攻击，因此需要优先对其排序并采取针对性的行动。但往往这些警报都是误报，所以排查警报和告警分析就成了既枯燥又‘刺激’的工作了。稍一不慎，安全人员和组织都可能万劫不复。”
显然，在这样的工作环境中，压力一定会不断变大，更不要说董事会和执行管理层的不解风情了。在当下的互联网环境中，许多集团都面临着与网络安全相关的监管和法律义务，所以董事会必定会加强组织的法规意识和内控制度，但他们在衡量投资回报率时，并不会把资源与之正比，而只是选择把职责放大。即对安全部门的要求不断增加，却很少牵头安全计划或主动配合安全人员。
“因此，这就导致了安全人员所感受到的压力，会随着立法、黑客攻击、数据资产的增多而变大。此外，威胁活动的增加和新技术的采用，也给安全人员带来了更具挑战性的工作环境，那就是‘人们希望安全人员永远在线’。”
Gartner的一份报告显示，办公室工作时间过长和责任过重是网络安全人员会精疲力竭的主要原因。这是Gartner同行社区在调查了178位网络安全负责人后所得出的结论。Clifton介绍说：“其中，超过一半的网络安全负责人至少经历过一次倦怠，而其他受访者则在职业生涯中经历了多次倦怠。”
报告显示，超过一半的网络安全人员会工作到深夜或周末，而这些压力比日常工作所产生的更大、更多。还有一部分网络安全负责人报告表示，这样的工作环境和其所带来的压力，已经影响到了他们履行职责的能力。

根据Gartner的数据，组织上下以及董事会对安全人员不切实际的期望，是另一个增加倦怠感的因素。“作为网络安全人员，我们的职责确实是应对网络威胁，但我们并不是网络方面的全能者。所有人必须看到的是，网络也是在不断发展的，我们都需要在摸索中找到防御成功的可能性。连黑客攻击都是在摸索中一点点成功的，更何况滞后防御的我们呢？没有人能对‘未知领域’彻底地认知和把控，网络也是一样。”
Clifton说，还有一点是令人震惊的，即那些经历过倦怠的安全人员，会因为担心负面影响而选择不去通知他们的领导，这样的情况只会导致安全工作越发消极，组织的安全态势越发低下。“面对毫无反馈的工作态度，领导层会错误地认为安全人员能胜任这份工作，而其实此间的漏洞会越来越大。所以，员工个人的身心状况是很重要的因素，组织切不可忽视。”

如何解决倦怠
由此可见，随着网络安全形势的不断发展，专业人员需要足够的资源来防止和管理倦怠。Gartner的报告称，超过一半的受访者表示，其组织具备令人满意的资源可用来应对和缓解倦怠，其他受访者则指出，他们所在的组织缺乏这些资源。
报告还发现，组织可以通过资源分配、高管领导支持和工作认可来防止员工倦怠。Clifton说：“组织必须做好更多的工作来改变其内部的安全文化，比如鼓舞士气，给予安全团队相应的嘉奖，再比如主动牵头网络安全计划，让更多的部门和成员参与进来，从上而下将安全实践提升到最优。”
关于企业安全文化，首先要具备自上而下的支持和共识，制定愿景，稳步推动；然后在企业中建立合理的信息安全组织架构，制定一套合适的安全管理机制；最后要在宣贯和激励方面有所营造。因为对安全文化来说，安全意识培训是安全文化建设的重要措施。除此之外，还可以举行安全文化活动，以此来推动企业员工逐步形成统一、规范的安全行为。
另一方面，管理层要认识到安全团队所承受的压力，并对工作量进行合适的分配，以避免安全人员产生倦怠。而对安全团队来说，其压力来源主要体现在三方面：业务、上级领导、监管机构。
所以管理者可以从这三个方面来减少安全团队自身的压力：
1、让业务部门和安全部门之间进行有效的配合，必要时可让安全部门为业务做科普；
2、在安全部门向上级领导汇报时，可要求双方都掌握彼此能接受的沟通语言；
3、对监管机构所提的各种要求，予以安全部门足够的支持。
Clifton指出，技术、工具和产品是为了让安全部门更有效地工作，也是为了让安全部门能更好地为业务护航。所以即使部门预算不可避免是有限的，但组织也该从战略上更好地分配资源，以应对重大的威胁和漏洞。当然，企业应根据业务需求和风险评估结果，确定网络安全工作的优先级；对于关键业务和核心资产，应投入更多的资源进行重点防护，确保这些关键部分的网络安全得到充分保障。这些都是组织能为安全部门、安全人员一起分担的职责和压力。

国内安全专家的建议
对于如何解决网络安全人员的倦怠问题，国内安全专家如此建议。
友邦资讯科技安全专家杜建荣表示：“我觉得倦怠主要来源于工作环境与心态，如果一直反复重复地工作而没有任何提升或改变，就很容易会让人产生倦怠心理。我觉得可以采用轮岗或技术/技能升级的方式，保持大家对工作的探索与热情，避免重复的工作，尽量提升大家的技术栈，让大家面向更前沿的知识体系。”

杜建荣指出，工作倦怠很多时候是不可避免的，因为我们的大环境需要广大群众不断去适应，并以这样的方式在国际上竞争，所以付出比他国更多的努力和忍耐是我们现阶段的战略手段，因为只有这样才能在最新的技术发展上做到弯道超车。
“尤其是安全行业。我们能看到的是，互联网在不断变化，而且会越来越复杂，包括物联网、人工智能、大数据等等，所有这些科技发展对各国而言都是统一起跑线，因此也就意味着我们可以做到弯道超车。但很重要的一点在于，如何能保障超车时的安全和稳定？关键就是我们网络安全行业，可以说‘安全’和‘发展’是同时进行的，而我们所有安全人员都会是这一时代的见证人。”
某海外Web3企业安全专家胡恺健表示，目前安全行业人员的确存在或多或少的倦怠问题，造成这种现象的原因是多方面的。以下是胡凯健提出的一些观点：
首先，一方面是经济环境萎靡，导致安全从业人员最近两年获得的经济回报呈现下降趋势，众多安全厂商的业绩大幅下降，大规模的裁员问题使人忧心忡忡，连基本保障可能都不保，谈何积极进取，这肯定会造成倦怠心理。同时，很多甲方企业在一定资源投入的情况下，安全建设已经进入稳定阶段，更多的是运营和优化。使得安全厂商走产品的老路子没有以前那么丰厚的回报，从而也加剧了相关人员倦怠心理，即实际与期望存在差距，投入产出比下降。
另一方面，大部分企业的安全工作都不是企业重大战略的一部分，更多是仅仅为了不出事而已。安全工作非常考验安全负责人的掌舵能力，如果安全负责人没有办法获得充分的资源，安全人员就会陷入日复一日的日常运营和运维工作中，不会有太多的创新能力，也较难接触行业前沿的产品和服务，形成死循环后就会产生倦怠情绪。
最后，传统网络安全技术进入了瓶颈期。虽然去年AI开始大火，各种AI大模型开始加持，但真正能接触到AI赋能网络安全的企业并不多。近年来各种网络安全产品“造词”泛滥，各种近似的概念层出不穷，非常吸睛，但本质却没有太多变化。在行业摸爬滚打多年的从业人员，几乎一眼能看穿“真创新 vs 假包装”，研究欲望有所下降，因此这也造成了一种倦怠。
胡凯健表示，要解决这些问题，除了等待经济回暖，也应该主动降低风险：
首先，经济都是有周期的，经济低迷的时候正好是锻炼内功的时候，厚积薄发方能在经济好转的时候进行更大的提升。
第二，企业安全负责人在资源有限的情况下，也应该保持员工的士气，组织更多的内外部的讨论和学习，包括与新兴厂商交流，与同行交流，充分掌握业界最新动态。
第三，安全厂商应该更多聚焦在实用性和用户体验，详细了解用户的真实需求，对比不同客户的环境差异，将一线消息实实在在地带回到产品生产线，持续提升产品质量，而不是仅仅跟随最新热点，造新词，玩概念。新时代之下，网络安全也不是什么神秘的东西了，犹抱琵琶半遮面的销售方式已经不合时宜，提升产品质量和用户体验，对齐世界先进技术才是赢得市场的本质。
“相信通过这几点，可以使行业重新进入正向循环，可以缓解倦怠问题。”



原文地址：https://cybernews.com/security/cybersecurity-burnout-causes-and-solutions/
作者：
No Ancell  
网络新闻记者

END



点击这里阅读原文