調(diào)查顯示：IT投入中安全占比最高
數(shù)字化轉(zhuǎn)型正在加速，但為相應(yīng)的文化轉(zhuǎn)變提供資金支持似乎并未得到企業(yè)的關(guān)注。紅帽于2020年7月到9月面向1470位IT專業(yè)人員展開《2021年全球技術(shù)展望》調(diào)查，受訪者們大多來自年營收超過1億美元的廠商，涵蓋紅帽客戶以及更廣泛的行業(yè)領(lǐng)先企業(yè)。
雖然多數(shù)企業(yè)并不關(guān)注文化變革，但技術(shù)/技能培訓(xùn)、人員與流程技能培訓(xùn)、以及IT/開發(fā)人員招聘與留存都得到了有力的資金支持，被視為數(shù)字化轉(zhuǎn)型戰(zhàn)略中的重要組成部分。有人認(rèn)為對文化轉(zhuǎn)變的忽略可能代表著企業(yè)過分關(guān)注具體的、實踐層面的問題，但從其他開支方向來看，他們總體上更重視人的因素。
而在IT資金優(yōu)先級方面，IT安全性意外在本輪調(diào)查中位居榜首，有45%的受訪者將安全視為頭等大事。考慮到安全長期以來一直處于資金不足、極度缺乏關(guān)注的尷尬地位，此次顯露出的轉(zhuǎn)變趨勢無疑值得我們深入剖析。
下面來看其他幾項與安全相關(guān)的數(shù)據(jù)：
- 在企業(yè)的預(yù)算清單中，提升安全性的重要度（32%）僅僅稍遜于提升效率（37%）。面對逐步惡化的威脅形勢，也許加大安全投入以阻遏安全隱患已經(jīng)成為一種必需。
- 良好的安全性與合規(guī)性已經(jīng)成為數(shù)字化轉(zhuǎn)型獲得成功的必要前提（但其優(yōu)先級仍然略低于集成問題）。
IT領(lǐng)導(dǎo)者抱有哪些安全顧慮？以多數(shù)組織為什么堅持在本地設(shè)施中運(yùn)行某些應(yīng)用程序為例，答案主要集中在數(shù)據(jù)隱私性與數(shù)據(jù)安全性層面，占比分別為39%。
但需要重申的是，本地設(shè)施運(yùn)行并一定就更加安全——大型公有云服務(wù)商往往擁有豐富的專業(yè)知識，而且在保護(hù)自有數(shù)據(jù)中心及所運(yùn)行的軟件方面投入了巨量資金。盡管如此，不少IT領(lǐng)導(dǎo)者仍然希望在本地設(shè)施內(nèi)運(yùn)行特別重要的工作負(fù)載，借此實現(xiàn)更好的控制度與可見性。
下面我們具體來看最重視安全支出這部分受訪者的詳盡優(yōu)先級考量。在這部分受訪者中，網(wǎng)絡(luò)安全排名最高（占比為42%），緊隨其后的為云安全性與數(shù)據(jù)保護(hù)/隱私/主權(quán)。另有30%的受訪者將“威脅檢測與響應(yīng)”視為首要任務(wù)。
在紅帽發(fā)布的《2021年企業(yè)開源現(xiàn)狀》報告中，安全同樣得到高度關(guān)注。報告確定，安全性已經(jīng)成為企業(yè)開源的最大優(yōu)勢，同時也與“軟件質(zhì)量”及“安全能力”等開源應(yīng)用屬性密切相關(guān)。此次調(diào)查涵蓋全球1250位IT領(lǐng)導(dǎo)者。
此外，87%的受訪者認(rèn)為企業(yè)級開源軟件比專有軟件“同樣安全”或者“更加安全”；84%的受訪者表示企業(yè)級開源軟件“已經(jīng)成為組織安全策略的核心組成部分”。
這些數(shù)據(jù)到底帶來了哪些啟示？我們不妨從以下幾個角度嘗試解讀。首先，人們對于軟件供應(yīng)鏈安全等問題的認(rèn)知與關(guān)注度正日益增強(qiáng)。
安全支出比以往任何時候都更加重要，至少不再明顯落后于其他預(yù)算方向。換句話說，對軟件供應(yīng)鏈安全性等問題的重視，例如分析所使用軟件庫的來源與已知漏洞等，代表我們已經(jīng)在安全保障方面邁出重要一步。
盡管技術(shù)自動化的優(yōu)先級不及安全性高，但運(yùn)營自動化仍然擁有一定地位，至少高于應(yīng)用程序開發(fā)。這一點非常重要，因為事實證明自動化正是軟件開發(fā)安全中不可或缺的一部分。整個行業(yè)也意識到，自動化應(yīng)該在開發(fā)流程中盡可能“左移”，或者說越早引入越好。這一點不僅體現(xiàn)在自動化掃描等安全工具當(dāng)中，同時也體現(xiàn)在自動化配置與測試層面，可避免因一致性缺失而引發(fā)安全隱患。
最后，IT領(lǐng)導(dǎo)者在安全觀念方面的轉(zhuǎn)變，也與企業(yè)在開源道路上的探索密不可分。以往，很多人一直對開源代碼的安全性感到擔(dān)憂，認(rèn)為攻擊者也能夠深入查看代碼內(nèi)容。這種擔(dān)心不無道理，畢竟對自己的代碼質(zhì)量更有信心，大家也不愿公開警報系統(tǒng)的底層信息。
但結(jié)合實際情況，絕大部分成功攻擊源自暴力滲透，跟項目源代碼的關(guān)系不大。所以代碼完全公開即使不能算是安全優(yōu)勢，也并不像很多人想象中那么可怕。根據(jù)調(diào)查，相當(dāng)一部分領(lǐng)導(dǎo)者已經(jīng)認(rèn)定企業(yè)級開源軟件的安全水平至少不遜于專有方案。
