在规划2023年的网络安全预算时，一些CISO可能会困惑于“从何开始”。保护企业免受网络威胁的方式多种多样且瞬息万变，因此找出最紧迫风险的任务显得至关重要。
不过，安全领导者还需开始考虑他们需要多少资金以及如何分配预算。咨询公司West Monroe的网络安全主管David Chaddock表示，“在宏观层面上，当定义战略目标和制定安全预算时，CISO应该知道，网络安全现状可能会使安全领导者深陷‘维持运营和推进新举措’的两难处境。虽然一些成熟度较高或遭受过网络攻击的企业，已经了解了变革的价值并且可能已经做好了准备，但不幸的现实是，大多数企业仍苦苦挣扎于用传统预算满足需求，而对安全的需求只会越来越大。”
以下是可能决定2023年预算的5大关键因素：
- 不断变化的威胁形势。
- 经济趋势及其对威胁行为者行为的影响。
- 地缘政治事件，例如俄乌战争。
- 不断变化的政府和其他法规和指导。
- 不断变化的网络保险要求。
CISO需要慎重考虑这些因素，以便找出确保企业安全的最佳方法。
1、不断变化的威胁形势
网络安全威胁格局正在不断变化，而随着新型勒索软件威胁的出现、向云计算的持续发展以及劳动力模式的转变，这种变化步伐似乎已经加快。其次，许多公司正在加速数字化转型进程。
Gartner高级研究总监Ruggero Contu表示，“数字化转型计划进一步扩大了攻击面。CISO预算必须满足来自外部风险的新要求，而传统预算的重点是关注内部基础设施。”
Contu补充道，暴露的漏洞(例如未修补的服务器和互联网连接设备中的开放端口)、云系统配置错误、泄露的关键信息(例如凭据)和受损资产(例如欺骗域和企业移动应用程序)都将是未来几年的重点攻击目标。
此外，端点设备的快速增长——包括物联网 (IoT) 的增长——以及固有的安全风险也将影响预算。
Contu表示，制造、能源、运输和医疗保健领域的安全预算将不得不专注于保护工业环境和系统免受IoT引入漏洞的影响，以及IT和运营技术 (OT) 的融合。
2、经济趋势导致网络安全资源稀缺
经济趋势(尤其是通货膨胀)可能会对网络安全支出以及威胁行为者的行为产生重大影响。咨询公司Plante Moran的合伙人兼网络安全实践负责人Raj Patel表示，网络资源的稀缺加上通货膨胀将是未来12到18个月网络安全预算和支出增加的最重要因素。
他认为，“网络人才来之不易，企业愿意为此付出代价。这也导致工资成本增加了至少10%到15%。由于资源稀缺，8-12年工作经验的员工薪资增长幅度更大。至于安全产品和服务，在过去四年中，用于更好地管理网络风险的工具和技术显着增加。”
Chaddock补充道，贫富差距及其带来的经济不确定性也将不可避免地导致黑客行为和其他可能破坏稳定的网络安全事件进一步增加。现在，随着企业变得更加数字化并且越来越容易受到安全漏洞的影响，这种情况只会进一步加剧。
3、 地缘政治事件加剧安全风险
世界各地的事件，也许最引人注目的当属俄罗斯和乌克兰之间的战争，这可能会继续对网络安全和风险产生重大影响。对于某些行业尤为如此，例如政府和其他支持国家关键基础设施的行业。
Patel解释称，“当前的地缘政治事件将攻击者的形象转变为国家资助的黑客，他们拥有深厚的技术技能和所需的资源来攻击关键基础设施和公司。”
West Monroe通过每季度对收入超过5亿美元公司的250名C级高管进行调查，形成的最新季度《高管调查报告》显示，当被问及“由于地缘政治和供应链不稳定，高管所属公司今年正在考虑采取哪些行动”时，大多数高管 (60%) 表示，他们正在考虑增加支出或关注网络安全，因为网络战已成为获得竞争优势的越来越常用的工具。
Chaddock补充道，民族国家赞助的针对乌克兰的攻击工具现在可以很容易地提供给更广泛的受众。而大多数企业都不具备充分的防护能力来抵御民族国家资助的攻击活动。这意味着大多数安全计划已经明显落后，需要在运营资金之外进行大量投资以保持正常运转。
4、不断变化的监管要求
在过去几年间，监管要求一直在变化，包括处理数据隐私的法律。Patel表示，遵守各种隐私法规和合同中的安全义务的成本正在上升。例如，一些合同可能需要第三方审计师进行独立测试。由于通货膨胀和工资上涨，审计师和顾问的费用也在不断提高。
Chaddock认为，企业应该专注于建立强大的安全性，而非专门关注法规遵从性。当一个企业真正安全时，实现和维护合规性的成本应该也会降低。特别是对于那些支持关键基础设施的企业来说，不断发展的监管合规要求需要大量支持。
5、不断变化的网络保险要求和不断上涨的成本
在经历勒索软件等广为人知的攻击之后，越来越多的企业开始购买或至少考虑购买网络保险计划。如果支付此类政策的费用超出了安全预算，CISO将需要考虑不断上升的覆盖成本和其他因素。
Patel表示，“网络保险成本正在上涨20%到25%。企业可以通过降低覆盖水平或增加免赔额来降低成本。不过，那将意味着承担更多风险。一些保险公司会评估您的网络控制以衡量您的保费。通过更好的控制，您也可以降低保费。”
Chaddock补充道，随着时间的推移，公司应确保将网络保险的成本包括在内，更重要的是与维护有效和安全的备份/恢复能力相关的成本。“双重勒索”时代的到来已经致使许多目标企业陷入财务困境。那些具有安全和弹性备份和恢复能力的企业，受到网络事件实质性影响的可能性要小得多。
