如今，企业的网络安全支出一直在增长，但是最近的调查数据表明，整体防御措施并没有变得更加有效。
从所有方面来看，IT行业似乎都在输掉对抗网络攻击的战争，但企业在安全产品上的支出仍在不断增加。
例如，根据Marsh公司和微软公司在去年年底发布的一份调查报告，2019年网络安全市场规模超过1240亿美元。尽管花费了这么多支出，但网络犯罪在2019年全球各地的组织损失了大约1万亿美元。
在被调查的受访者中，79%的受访者将网络风险排在前五位，而2017年为62%，但是由于对网络安全措施的信心全面下降。在了解和评估网络威胁方面，有29%的受访者表示他们对2017年充满信心，而在2019年这一比例下降到23%。同时，对评估威胁的能力完全没有信心的受访者数量翻了一番，从9%增加到18%。
同样，对缓解或阻止网络攻击的能力完全没有信心的企业比例从12%上升到19%，而对响应或管理网络攻击的能力没有信心的企业比例从15%上升到22%。
报告作者说：“缺乏信心的部分原因可能是企业从对网络安全技术不断增加的投资中看到的影响相对较小。”
同时，鉴于威胁形势和合规性要求不断提高，大多数企业洋会考虑减少网络安全支出。根据CIO杂志的2020年首席信息官现状调查，普通公司现在将其IT预算的16%用于网络安全。Enterprise StrategyGroup上月底发布的一项调查报告表明，62%的企业计划在2020年增加网络安全支出，而55%的组织计划总体上增 加IT支出。
伦敦网络安全商Garrison公司创始人兼首席技术官Henry Harrison表示，显然，犯罪分子正在变得越来越高明。但是问题是，防御者为什么不与时俱进呢?网络攻击者变得越来越聪明，并使用越来越复杂的技术。攻击面正在不断扩大，其中包括云计算、物联网、人工智能和其他新兴技术。但是在网络安全支出方面，许多公司开展的工作比较盲目。
Harrison说：“人们在不了解网络安全技术是否有效的情况下，在网络安全技术上花费了大量资金。”
部分问题可能是，很多企业在跟踪网络安全支出的投资回报率方面做得不好。根据SANS协会在今年一月进行的一项调查，只有35%的受访者表示，根据投资成本来衡量他们的安全计划的有效性。报告作者Barbara Filkins表示，这使得负责安全事务的管理人员无法证明向企业管理层进行必要投资的合理性。
企业支付的成本物有所值吗?
在SANS调查中确实衡量网络安全有效性的那些企业中，最常见的策略(由59%的受访者使用)是计算攻击面的减少。44%的受访者关注合规性的提高，41%的受访者关注了响应的速度和准确性，18%的受访者关注了他们是否能够降低网络安全成本。
Tala Security公司首席执行官Aanand Krishnan表示：“一些供应商正在提供投资回报率测量工具，以帮助安全团队跟踪其安全工具的性能。但目前可用的工具尚不成熟。”在安全绩效管理方面，他们隐瞒的比披露的要多。””
另一种方法是使用MITRE、NIST、COBIT、CISQ等行业框架和标准。虽然它们越来越复杂，但这些框架往往是通用的。Krishnan说，“首席信息安全官必须花费大量时间来调整这些框架，使之与他们的IT状况相关。”
最后，有时看起来每个安全供应商都承诺要解决存在的所有安全问题，很难具体说明他们的技术是做什么的。他说，“企业最终会出现供应商膨胀的问题，这将使网络安全预算不断扩大。”
炒作和混淆
漏洞发生的地点与当前热门的网络安全技术之间也存在不一致的地方。KnowBe4公司数据驱动防御传道者Roger Grimes说，缺乏补丁程序和网络钓鱼电子邮件是造成大多数安全事件的原因，但这些问题并不是引起所有炒作和关注的原因。
他说：“网络安全防御厂商是推销员。他们被迫在潜在客户中产生恐惧和恐慌的感觉，以出售他们的产品。这就是他们为谋生而做的事情。”
根据Valimail公司在12月发布的一项调查，有53%的受访者表示，大多数或所有网络安全供应商在推销产品时都会使用不清楚或模棱两可的数据。此外，有42%的人表示网络安全产品确实会有时提供价值，但很难或不可能证明其价值，而有44%的人表示大多数或所有供应商都对他们的技术感到困惑。
Valimail公司首席营销官David Applebaum表示，许多供应商都相信客户会与他们在一起。他说：“对于大多数已经在特定平台上进行了标准化的客户来说，很难切换并再次进行所有供应商的所有评估。人们普遍认为，它们都不比其他公司要好，因此寻找另一家安全厂商并不一定会提高满意度。然后，人们担心任何干扰都会使其容易受到攻击。”
可能很容易将技术效率低下归咎于供应商，而对销售人员的混淆则归咎于它们。在许多情况下，他们应该受到谴责。但是，企业自身也应承担很多责任。
例如，根据ISACA的2020年安全状态报告，良好的企业风险管理策略的一个基石是对可以承受的风险有所了解，但是只有35%的企业清楚地了解其网络风险承受能力和企业风险。当企业甚至不知道其目标是什么时，很难知道是否已实现网络风险防御目标。
