2024年网络安全现状报告-ISACA_40页_6mb

报告摘要

2024年网络安全现状总结

核心内容

《2024年网络安全现状：全球劳动力、资源与网络安全运营更新报告》基于ISACA的年度全球网络安全状况调查，分析了2024年网络安全领域的劳动力发展、人员配备、预算变化、威胁态势及AI应用等关键趋势。尽管整体趋势未发生重大转变，但部分数据揭示了潜在的挑战，可能对网络安全就绪状态产生不利影响。

主要观点

网络安全劳动力老龄化加剧：45-54岁受访者比例达到34%，超过35-44岁群体（30%）。34岁及以下受访者比例未上升，管理经验不足三年的员工比例保持44%，表明行业面临人才断层风险。
人员配置略有改善：38%的受访者认为网络安全团队人员配置适当，较去年提高2个百分点；43%的受访者认为团队人员略显不足，较去年下降3个百分点。AI使用与人员配置水平无明显关联。
职业压力持续上升：66%的受访者表示职业压力比五年前更高，81%将其归因于日益复杂的威胁环境。因工作压力高而离职的受访者比例上升至46%，成为主要离职原因之一。
职位空缺持续减少：非入门级职位空缺比例下降4个百分点至46%，入门级职位空缺下降3个百分点至18%。网络安全经理职位空缺降至60%，为历史最低水平。
人员流失因素变化：被其他公司挖角和财务激励不足仍是主要离职原因（各占50%），但因工作压力高而离职的比例上升3个百分点至46%。远程工作限制也上升了4个百分点。
雇主福利缩减：专业发展培训费用支付比例下降7个百分点，弹性工作时间比例下降6个百分点。然而，仍有部分企业继续支付员工认证费用并提供大学学费报销。
技能差距与培训需求：网络安全实践经验仍是评估候选人合格性的主要因素。软技能仍是技能差距中的主导因素（51%），但其比例下降4个百分点。技术类技能差距中，安全控制、云计算、ML SecOps和LLM SecOps需求上升。
AI在安全运营中的应用：威胁检测/响应（28%）和终端安全（27%）是最受欢迎的AI应用。AI参与度较低，45%的受访者未参与AI解决方案的开发或实施。
网络安全预算持续下降：36%的受访者认为预算充足，44%认为略显不足，较去年增加4个百分点。仅47%的受访者预计预算会增加，13%预计预算将缩减，显示预算下降趋势。
网络风险评估：41%的受访者表示企业每年进行一次风险评估，比去年增加2个百分点。高管团队中9%认为风险评估无价值，与当前攻击频发趋势形成对比。
网络保险认知不足：近一半受访者不了解企业投保的网络保险类型，大洋洲（57%）、北美（49%）和欧洲（43%）的受访者比例较高。仅有10%的企业拥有第一方保险，16%拥有第三方保险。
网络安全就绪性面临挑战：人才短缺、预算缩减和员工流失问题持续存在，可能对业务连续性产生影响。AI在安全运营中的应用仍处于早期阶段，缺乏深度参与。

关键信息

人员配置与保留

45-54岁受访者比例上升至34%，35-44岁下降至30%。
38%认为团队人员配置适当，43%认为略显不足。
北美在人才保留方面遇到的困难最少。

职位空缺与填补

非入门级职位空缺下降4个百分点至46%，入门级职位下降3个百分点至18%。
网络安全经理职位空缺降至60%，为历史最低水平。
填补职位所需时间与去年相比变化不大，但非入门级职位填补时间增加2个百分点。

人员流失与离职原因

被其他公司挖角和财务激励不足仍是主要离职原因（各占50%）。
工作压力高成为第三大离职原因（46%）。
远程工作限制被更多受访者视为离职原因（比2023年增加4个百分点）。

雇主福利变化

专业发展培训和弹性工作时间比例下降。
仍有部分企业支付员工认证费用和提供大学学费报销。

技能差距与培训

软技能仍是最主要的技能差距（51%）。
安全控制、云计算、ML SecOps和LLM SecOps技能需求上升。
培训是弥补技能差距的主要手段，但预算削减令人担忧。

AI在安全运营中的使用

威胁检测/响应和终端安全是AI应用的热点。
45%的受访者未参与AI解决方案的开发或实施，显示参与度低。

网络安全预算

36%的受访者认为预算充足，44%认为略显不足。
预算增加预期下降4个百分点，缩减预期上升13%。
预算下降趋势持续，可能影响网络安全运营能力。

网络攻击与威胁行为者

网络攻击数量增加，社交工程使用上升4个百分点至19%。
非恶意内部攻击比例下降至9%，可能归因于培训和意识计划。

网络风险与保险

56%的受访者认为董事会充分重视网络安全。
9%的高管团队认为风险评估无价值。
41%的受访者表示企业每年进行一次风险评估。
网络保险认知度低，仅10%拥有第一方保险，16%拥有第三方保险。

结论

2024年网络安全行业面临多重挑战，包括劳动力老龄化、预算缩减、职业压力上升和AI应用不足。尽管部分职位空缺减少，但人员流失风险依然存在。网络安全专业人员需要更多培训和技能发展，而企业应加强内部人才储备和AI应用，以提升网络安全就绪性。此外，对网络保险的认知和参与度亟需提高，以确保在发生网络事件时能够有效应对。

展开完整摘要