新的一年，談?wù)凜IO們的工作重點(diǎn)
又到一年末，相信各大CIO已經(jīng)在著手為2022年制定規(guī)劃。而前進(jìn)的道路看似變幻莫測(cè)，但具有戰(zhàn)略眼光的CIO們不妨重點(diǎn)考量以下三大核心領(lǐng)域，引導(dǎo)企業(yè)在新的一年內(nèi)繼續(xù)穩(wěn)步向前：
建立縱深防御體系
多位CIO表示，網(wǎng)絡(luò)安全將成為2022年發(fā)展計(jì)劃的重中之重。如今網(wǎng)絡(luò)攻擊正變得愈發(fā)頻繁、愈發(fā)復(fù)雜，遭受攻擊后的修復(fù)成本也越來(lái)越高。所以除了繼續(xù)對(duì)最終用戶做好安全意識(shí)培訓(xùn)之外，建立起縱深防御體系也成為保障安全的必要手段。
首先，對(duì)公司的戰(zhàn)略計(jì)劃做出全面審查，例如是否有收購(gòu)計(jì)劃、是否會(huì)擴(kuò)張業(yè)務(wù)、是否開(kāi)拓新地區(qū)市場(chǎng)等，并有針對(duì)性地制定出重點(diǎn)關(guān)注基礎(chǔ)安全知識(shí)的2022年網(wǎng)絡(luò)安全路線圖。
接下來(lái)，為系統(tǒng)安裝最新補(bǔ)丁、部署強(qiáng)大的端點(diǎn)安全解決方案，同時(shí)建立并持續(xù)測(cè)試值得信賴的備份系統(tǒng)。最后，制定事件響應(yīng)計(jì)劃并定期組織演習(xí)，隨時(shí)復(fù)盤(pán)并總結(jié)經(jīng)驗(yàn)。
根據(jù)ISACA公布的能力成熟度集成模型（簡(jiǎn)稱CMMI，如下圖所示）審核整體準(zhǔn)備情況，并制定計(jì)劃以逐步解決并改進(jìn)所有安全領(lǐng)域。另外，木桶理論在網(wǎng)絡(luò)安全領(lǐng)域尤其重要，請(qǐng)先將各種能力的水平提升至3級(jí)，再考慮著重推進(jìn)至更高水平。
數(shù)據(jù)來(lái)源 – ISACA CMMI: https://cmmiinstitute.com
市面上的種種新興技術(shù)看似誘人，但企業(yè)在制定計(jì)劃時(shí)還是應(yīng)該腳踏實(shí)地、著眼于基礎(chǔ)安全功能，保證系統(tǒng)不致淪陷于基本攻擊之下。機(jī)器學(xué)習(xí)或者AI漏洞/威脅分析等高級(jí)功能當(dāng)然酷炫，但如果沒(méi)有基本的安全控制與流程存在，那么想象中的“錦上添花”只會(huì)變成“畫(huà)蛇添足”。
時(shí)刻關(guān)注業(yè)務(wù)做出戰(zhàn)略調(diào)整
在過(guò)去的兩年時(shí)間里，新冠疫情的爆發(fā)徹底改變了CIO們的關(guān)注重點(diǎn)與應(yīng)對(duì)策略。這兩年間，IT團(tuán)隊(duì)一直在迅速轉(zhuǎn)變以適應(yīng)新的組織運(yùn)營(yíng)需求， 隨著企業(yè)重新將注意力轉(zhuǎn)回業(yè)務(wù)戰(zhàn)略身上，CIO們也需要拿出相適應(yīng)的IT戰(zhàn)略。
現(xiàn)如今在業(yè)務(wù)方面，最基本的便是IT運(yùn)營(yíng)問(wèn)題，明確IT計(jì)劃的類型是維持業(yè)務(wù)還是需要改善與變革。維持IT業(yè)務(wù)代表著交付實(shí)際業(yè)務(wù)價(jià)值。其中包括通過(guò)清退陳舊技術(shù)和取消非必要項(xiàng)目等方式改善成本、速度與能力，同時(shí)有效減少技術(shù)債務(wù)。
對(duì)業(yè)務(wù)的重塑則必然涉及對(duì)創(chuàng)新方案的投入，幫助業(yè)務(wù)運(yùn)用IT優(yōu)勢(shì)快速把握更多新機(jī)遇。這些努力才是真正面向未來(lái)的嘗試，而任何不積極進(jìn)取的IT部門(mén)在實(shí)質(zhì)上都是在主動(dòng)退步。換句話說(shuō)，如果CIO只專注于IT運(yùn)營(yíng)，而忽略對(duì)其進(jìn)行分析分類，就永遠(yuǎn)不可能成為合格的CIO。
后疫情時(shí)代人才最重要
自疫情以來(lái)，各大企業(yè)都在經(jīng)歷人才流失的問(wèn)題，同時(shí)各種數(shù)據(jù)表明，大量中年人正在經(jīng)歷職業(yè)危機(jī)。特殊時(shí)期讓IT領(lǐng)域的這個(gè)潛在問(wèn)題被清晰放大，讓企業(yè)意識(shí)到很多員工的技能和專業(yè)知識(shí)源自多年的積累與磨練，無(wú)法通過(guò)簡(jiǎn)單的培訓(xùn)課程快速?gòu)浹a(bǔ)。
這就需要CIO在完成戰(zhàn)略計(jì)劃制定之后，對(duì)員工進(jìn)行技能評(píng)估，明確員工與團(tuán)隊(duì)有哪些方面需要補(bǔ)足提升，并為其制定培訓(xùn)計(jì)劃，組織線下或線上研討會(huì)來(lái)深入討論各類技術(shù)主題。這種方式既能增強(qiáng)員工個(gè)人的知識(shí)，也能培養(yǎng)出新興領(lǐng)導(dǎo)者，提升團(tuán)隊(duì)競(jìng)爭(zhēng)力。不妨最后，確保管理人員隨時(shí)監(jiān)控培訓(xùn)進(jìn)度并讓員工們對(duì)做出的承諾負(fù)責(zé)。
在一些無(wú)法通過(guò)內(nèi)部培養(yǎng)獲得的技術(shù)能力的領(lǐng)域，可以使用托管服務(wù)，但需要能夠充分運(yùn)用擴(kuò)展條件并增強(qiáng)團(tuán)隊(duì)能力的托管，例如7*24全天候安全監(jiān)控。目前市場(chǎng)對(duì)于網(wǎng)絡(luò)安全專家的需求遠(yuǎn)遠(yuǎn)超過(guò)供應(yīng)，所以雖然內(nèi)部培養(yǎng)仍是個(gè)不錯(cuò)的選擇，但往往需要幾年時(shí)間才能開(kāi)花結(jié)果。
與此同時(shí)，托管服務(wù)能為我們快速提供必要的技能、專業(yè)知識(shí)與覆蓋范圍。這種按需方法價(jià)格較高，但成本仍要低于其他替代性方案——例如不設(shè)置任何安全監(jiān)控、或者由缺乏經(jīng)驗(yàn)的員工勉強(qiáng)管理安全等。
此外，例如咨詢臺(tái)、打印機(jī)管理等硬件設(shè)備的設(shè)置也是一個(gè)值得關(guān)注的范圍。
最后，在疫情的大環(huán)境下，在招聘人才方面要保持更靈活的雇傭方式。協(xié)調(diào)統(tǒng)籌本地與遠(yuǎn)程員工的配合，并為遠(yuǎn)程辦公人員提供更靈活的工作制度。
展望未來(lái)，相信CIO只要能將這三大要素順納進(jìn)自己的管理規(guī)劃，就能在2022年開(kāi)拓出一個(gè)全新的局面。
