Terena Bell Charles

長期以來，人們都知道信息安全領(lǐng)域一直是人員不足，資金不足，疫情之前的確是這種情況。在當前經(jīng)濟低迷時期，信息安全領(lǐng)域面臨更大的壓力，研究公司Pulse在6月4日的報告中稱，目前23%的安全預算被凍結(jié)，49%的預算被削減了。

那么，當CEO要求削減資源不足的預算時，首席信息安全官應(yīng)該從哪里下手呢？更具體地說，有沒有一種方法可以使這些削減措施在經(jīng)濟重啟后不會成為永久性的？首席安全官與顧問、供應(yīng)商和首席信息安全官相互交流，得出了以下最佳建議：

1.找到技術(shù)上的重疊

在人、過程和技術(shù)的金三角中，首先要看技術(shù)——也就是企業(yè)已經(jīng)擁有的軟件。Cyxtera聯(lián)邦集團總裁兼首席信息安全官Leo Taddeo指出，“應(yīng)找出在哪些地方可以通過創(chuàng)新來提高效率?！庇捎诤芏嗉夹g(shù)供應(yīng)商都在不斷地增加新功能，因此現(xiàn)在可能會在技術(shù)上有一些重疊，而這在初次使用時還不存在。以當前的端點保護套件為例，Taddeo指出，它可能還提供了重要的防病毒保護功能，“如果首席安全官認識到這兩方面都產(chǎn)生了成本，那么在此就可以節(jié)省成本?！?/p>

與其他部門合作，看看他們使用了什么技術(shù)。識別影子IT一直是個難題，所以應(yīng)從熟知的系統(tǒng)開始，尤其是那些應(yīng)用非常廣泛的系統(tǒng)。Taddeo說：“在現(xiàn)有的平臺上，比如Windows 10，就已經(jīng)具備了一些功能，首席信息安全官可以簡單地打開一項安全功能來降低風險?！?/p>

無論在哪里找到這些功能，消除工具冗余都是一種節(jié)約成本的措施，即使在預算恢復正常后，你也可能會保持這種做法。正如零信任網(wǎng)絡(luò)接入解決方案提供商Appgate Federal的總裁Greg Touhill所說，“首席安全官應(yīng)始終注意把握機會，目的是更高效和更安全——不管是否有疫情。”

2.重新談判供應(yīng)商合同

分析平臺Sumo Logic的首席安全官George Gerchow認為，對于自己部門保留的工具，可以試著通過“與供應(yīng)商重新接洽，以確保能得到最好的價格”來降低成本。他說，“現(xiàn)在，每家供應(yīng)商都在竭力保護他們的客戶群，因此，單點解決方案將不得不降低價格才能與套件解決方案相競爭”，這意味著套件解決方案可能會在許可費用上打折。

供應(yīng)商ServiceNow的安全運營總經(jīng)理Jeff Hausman建議，如果可以的話，安全部門應(yīng)該從永久授權(quán)模式轉(zhuǎn)向訂閱模式，從而提高預算的靈活性。

Gerchow說：“對數(shù)據(jù)使用量進行收費的平臺將不得不在按數(shù)據(jù)類型和搜索頻率收費方面有所創(chuàng)新?！?/p>

服務(wù)提供商Bionic的首席執(zhí)行官Mark Orlando也提出了類似的建議：“任何基于數(shù)據(jù)量或者其他可變指標的技術(shù)許可，都應(yīng)該進行縮減。應(yīng)尋找降低許可成本的方法，可以通過減少不可操作或者已過時的數(shù)據(jù)源來實現(xiàn)——至少要整合或者共同確認支持合同，以找到技術(shù)重疊，這樣就可以要求減免付款?！?/p>

如果供應(yīng)商不愿意談判，Hausman和Gerchow都建議過渡到開源替代方案。

3.利用技術(shù)降低與人員相關(guān)的成本

在當今環(huán)境下，與削減預算相關(guān)的諸多困難也有其積極的一面。Hausman說：“這是一個很好的時機來實現(xiàn)某些枯燥的安全操作的自動化?！北热缒切┨牟块T時間的所有手工工作。如果首席執(zhí)行官愿意花一點小錢來省一大筆錢，那這也許就是你的機會，讓你有理由購買一直想要的自動化工具。Hausman說：“任務(wù)自動化和流程編排是很容易實現(xiàn)的。”

Hausman建議首席信息安全官應(yīng)用80/20規(guī)則，這是一種商業(yè)理論，也被稱為帕累托原則（Pareto Principle），即80%的結(jié)果來自于20%的努力。Hausman建議反思一下：“你的部門最花時間的前五項工作是什么？”這些工作是否符合企業(yè)和部門的目標？他解釋說：“貨架式工作流程能夠安全地處理某些工作，例如，數(shù)據(jù)收集、優(yōu)先級排序，以及事件整合和補救措施分配等?！?/p>

這條建議可能對實現(xiàn)零信任網(wǎng)絡(luò)尤其有用，Touhill評論說，例如，在軟件定義周界防護方面的創(chuàng)新不但推進了戰(zhàn)略發(fā)展，“同時幫助削減了運營成本，因為這樣便能夠淘汰老舊的人力密集型技術(shù)，如虛擬專網(wǎng)（VPN）和網(wǎng)絡(luò)訪問控制（NAC）系統(tǒng)”——這是一個有趣的想法，因為Pulse數(shù)據(jù)顯示，VPN可能是36%的網(wǎng)絡(luò)安全部門今年5月份都要上的“新預算項目”。

高管們現(xiàn)在可能不想看到有任何類型的支出，但如果他們對創(chuàng)造性思維持開放態(tài)度，那么可以嘗試通過人力資源部門為空缺的安全職位提供資金支持，說服他們采購能夠減少部門工作量的軟件。有些工具可能很昂貴，但要想一想企業(yè)的總成本是大于還是低于新員工的工資加福利？另外，這條建議還可以幫助你樹立一個先例——在預算恢復后購買一直想要的其他技術(shù)。

4.裁員務(wù)必謹慎

你要的是削減預算，然而意想不到的是，裁員幫你做到了——6月份的失業(yè)數(shù)據(jù)顯示，在疫情期間，有3000多萬美國人失業(yè)。在網(wǎng)絡(luò)安全領(lǐng)域，6月份的Pulse調(diào)查顯示，48%的數(shù)據(jù)安全部門在4月和5月份“因為新冠病毒而減少了員工人數(shù)”，40%的部門計劃在11月之前繼續(xù)裁員。

Bionic公司的Orlando說：“失去技術(shù)能力很強的團隊成員將對部門士氣產(chǎn)生持久影響，也不利于未來的招聘工作，因此，對于希望在危機過后保持某種能力不變的安全部門領(lǐng)導來說，裁員應(yīng)該是萬般無奈的最后選擇?！?/p>

疫情導致的經(jīng)濟危機終將會過去。當員工們急于處理健康問題、托兒問題，還擔心下一步可能被解雇的時候，如果此時還讓他們加班，這其實并不能培養(yǎng)員工的忠誠度。正如Touhill所指出的，人員、培訓和許可費用占用了大部分安全預算?，F(xiàn)在對你有意見的員工很可能會在疫情危機之后辭職，這會增加接替員工相關(guān)的人員和培訓成本。請記住，我們的目標是在不損害未來安全的前提下，現(xiàn)在就想辦法削減預算。

5.不管怎樣，牢記自己的目標

回到Hausman的講話，安全領(lǐng)導人時刻牢記自己的目標是非常重要的。Orlando說，不管什么時候決定裁員，總的策略是一樣的：“把安全部門的任務(wù)進行細分，確定你能承受哪些損失，而仍然可以完成工作。”說到底，把這一指導策略堅持下去就會知道，什么應(yīng)該削減，什么不應(yīng)該削減。

Terena Bell是一名自由撰稿人，他感興趣的主題包括聊天機器人、自然語言處理和其他人工智能等。

原文網(wǎng)址

https：//www.csoonline.com/article/3566692/5-tips-for-cutting-budgets-in-a-crisis-without-hurting-security.html