调研机构通常会对行业在未来一年发展的趋势进行一些预测。由于网络安全是一个充满活力、有时甚至令人恐惧的领域，因此调研机构对其发展趋势进行了10个预测。

1、物联网遭受攻击

Hack The Box公司的首席执行官Haris Pylarinos曾是一名道德黑客。他表示，网络安全人员必须像网络罪犯一样思考，以确定2023年面临的最主要的网络威胁。

他预测2023年将出现物联网设备和传感器的入侵。

Pylarinos说，“业界人士低估了物联网攻击的危险性。掌握硬件技能对于防止灾难性网络攻击至关重要，而针对物联网的攻击可能会摧毁整个社会。”

2、创建安全文化

应对网络安全攻击、新的病毒和新兴威胁载体的方法通常是开发一套新的网络安全工具。

但是如今网络安全领域的工具太多了，并且变得越来越笨重。企业即使部署了所有最新的系统，却被告知还需要配置勒索软件保护或安全访问服务边缘(SASE)或零信任网络访问(ZTNA)等工具。这种情况似乎永远不会结束。

KnowBe4公司的战略洞察和研究高级副总裁Joanna Huisman认为，2023年企业将把重点转移到创建安全文化上。

Huisman说：“对大多数企业来说，需要进行安全意识培训，他们正开始从单纯的培训转向更加注重行为和文化。在全球范围内建立强大的安全文化已经有了更加积极的势头，这涉及到高管和员工群体的支持。”

3、零信任时代来临

零信任已经成为2022年的一个热门术语，但到目前为止，更多的是空谈而没有付诸实践。

Syxsense公司的首席执行官Ashley Leonard表示，“零信任技术在企业基础设施中的实际应用一直很有限。我对2023年的预测是，我们最终将看到零信任概念在企业IT环境中得到广泛应用。”

4、提高端点安全

Syxsense公司的Leonard还强调了端点在IT、计算能力和网络安全领域的角色变化。

端点安全近年来越来越突出，这一趋势将持续下去。而强调智能手机、个人电脑、服务器、平板电脑和笔记本电脑的安全性是有意义的，因为它们是防止网络入侵的第一线，以阻止网络攻击。除了网络安全，更多的任务将会外包给端点。

Leonard说：“近年来，企业将业务迁移云计算平台，它集中了计算资源和能力，但在很多情况下，功能强大的处理器和端点都没有得到充分利用。

如今由云计算管理的许多任务可以在端点更好地执行，这种情况将在2023年开始改变。作为其中的一部分，协调和自动化技术将是支持IT维护安全和服务的关键。”

5、针对Chrome的攻击

数据删除服务商Incogni公司分析了Chrome网络商店中1237个下载次数不低于1000次的Chrome扩展插件的风险情况。

研究表明，每两个Chrome扩展插件中就有一个(48.66%)具有非常高的风险，例如请求许可可能会暴露个人身份信息(PII)，分发广告软件和恶意软件，或记录用户的一切行为，包括他们在网上输入的密码和财务信息。预计在2023年，会有大量针对Chrome和浏览器扩展插件的攻击。

Surfshark公司的首席信息安全官Aleksandras Valentij说，“用户应谨慎对待需要以下权限的浏览器扩展：读取和更改访问的所有网站上的所有数据、音频捕获、浏览数据、剪贴板读取、桌面捕获、文件系统、地理位置、存储，以及视频捕获。在授予浏览器扩展权限时使用常识，例如广告阻止程序为什么需要音频捕获访问或访问文件系统。”

6、VPN将会失去份额

与之前的许多技术一样，虚拟专用网络(VPN)曾经是一项前沿技术。

随着时间的推移，世界的IT和商业环境已经取得了进步，而VPN基本保持不变。因此，VPN现在可能无法阻止黑客入侵，它们有时可能会使黑客的攻击更容易。企业可能会在2023年摆脱对VPN的依赖。

DH2i公司的联合创始人兼首席执行官Don Boxley表示：“采用VPN完成几乎不可能完成的任务，现在可以通过现代软件定义边界(SDP)来实现。”

Boxley表示，软件定义边界(SDP)使企业能够使用零信任网络访问隧道将任何对称网络地址转换(NAT)后的应用程序、服务器、物联网设备和用户连接到任何NAT，而无需重新配置网络或设置复杂且有问题的VPN。

7、Logji4漏洞将推动创新

Logj4漏洞是一个警钟，影响了全球将近十分之一的公司。

Platform.sh公司的隐私和安全副总裁Joey Stanford认为，通过鼓励企业雇佣有经验的开发人员来执行漏洞检查和更好的软件集成，为开源提供资金支持，Logj4漏洞将在2023年带来更安全的开源创新。

Stanford表示，还将在政府层面上采取行动，例如要求建立软件材料清单(SBOM)，以确保未来的软件项目更加安全，这将有利于使用和致力于开源的企业，并确认其在未来网络开发中的合法地位。

8、混沌工程将提高安全性

Quest公司的技术策略师和首席工程师Adrian Moir表示，在未来一年，企业将改进他们的数据安全测试流程，越来越多地部署混沌工程来增强企业的弹性。

混沌工程最初是为开发人员测试而构建的，它可以帮助IT团队测试恢复操作以及应用程序和数据传输管道。通过定期测试企业数据保护设备的每个部分，团队将能够确认从不可变数据存储到可复制性的恢复技术有效地工作。

Moir说：“鉴于勒索软件、自然灾害和其他业务干扰因素，企业高层将弹性和风险降低作为更高的优先级，预计企业将把这一点作为常规数据保护业务的一部分。”

9、商业电子邮件泄露(BEC)驱动MFA的采用

商业电子邮件泄露(BEC)将继续成为网络攻击者的首要攻击方法，也是进入企业系统的最简单方法。

随着零日攻击的增加，需要考虑减少外部可用的足迹。因此，商业电子邮件泄露(BEC)将推动多因素身份验证(MFA)的采用。

新一代管理服务提供商Thrive公司的首席信息安全官Chip Gibbons表示，“多因素身份验证(MFA)将无处不在，没有它，任何东西都不能从外部获得。”

10、风险管理的优先级

在谈到网络风险的治理和监督时，VMware公司的高级网络安全策略师Karen Worstell认为，由于网络固有的更高风险，以及通常脆弱的企业声誉，整个体系已经崩溃。

Worstell说：“因此，企业将加倍加强网络风险管理。在确保充分控制和报告网络攻击的过程中，董事会需要有更明确的角色和责任。网络风险治理不仅仅是首席信息安全官的主要责任。现在，这显然是一个企业主管级别的问题。在风险管理问题上，不能进行推诿。”

Codeproof公司的首席执行官Satish Shetty为此提出了一些建议，这将帮助企业降低风险，以避免成为媒体的头条新闻：

对员工进行网络安全培训，并告知不要点击钓鱼链接或从外部邮件下载附件。

• 使用Slack和Microsoft Teams等应用程序进行内部沟通。
• 主要使用电子邮件进行对外交流。
• 迁移到基于云的电子邮件服务，例如Microsoft 365或Google Workspace，而不是使用内部电子邮件服务器。
• 部署移动设备管理(MDM)和移动威胁防御(MTD)软件，以保护移动和便携式设备，利用其执行安全配置的能力。
• 在线账户使用强密码和双重身份验证。