GenAI提高了人們對網(wǎng)絡威脅的認識。人工智能項目正在進行中，但正在努力擺脫原型階段。由于難以找到合格的?IT?資源，一些管理人員不得不將一些開發(fā)工作置于待命狀態(tài)。以下是首席信息官擔心的三個障礙的可能解決方案。
來源：SHUTTERSTOCK
CIO負責許多活動，以及首席信息官在數(shù)字項目過程中遇到的障礙。但正如?IDC?最新數(shù)據(jù)顯示的那樣，網(wǎng)絡安全仍然是頭號挑戰(zhàn)，以至于它成為一個不斷增加的預算項目。分析師預測，到?2024?年，歐洲的網(wǎng)絡安全支出將增長?12.3%；未來幾年增長也將保持兩位數(shù)，到?2027?年將達到?840?億美元。驅動因素之一是生成式人工智能的傳播：新應用需要網(wǎng)絡安全保護。
“確保安全變得越來越困難。我們需要投入越來越多的資金，決不能放松警惕”，Qubica AMF的?IT?總監(jiān)?Sonia Belli?強調道，Qubica AMF?是一家博洛尼亞公司，也是全球最大的保齡球館生產(chǎn)商之一?！艾F(xiàn)在有了?Gen AI，安全性將變得更加重要，因為新技術也被網(wǎng)絡犯罪分子用來創(chuàng)建試圖進入網(wǎng)絡的機器人?！?/span>
一、網(wǎng)絡安全，首先要應對的挑戰(zhàn)
在最近的Cegos Barometer（學習與發(fā)展領域的國際參與者）中，網(wǎng)絡安全也位居信息技術總監(jiān)最關心的問題之首。?Cegos Italia?業(yè)務轉型主管兼執(zhí)行主管?Emanuela Pignataro?評論道，這一定位“是因為網(wǎng)絡攻擊不斷增加，并對業(yè)務和連續(xù)性產(chǎn)生了重大影響”?！笆紫畔⒐僬J為，盡管以一切可能的方式保護公司，但網(wǎng)絡攻擊遲早會發(fā)生，因此，其真正關心的問題和真正的職責集中在盡可能減輕影響并盡可能恢復系統(tǒng)和運營。盡可能快地、最大程度地”。
首席信息官們還意識到，網(wǎng)絡犯罪分子并不是孤立的黑客，而是越來越多地成為擁有大量預算的有組織實體：因此受到高度關注。
“如今，技術日益成為企業(yè)業(yè)務的基礎，但它也可能成為故障點，”Banca Popolare Etica組織部副部長兼信息系統(tǒng)負責人?Giuseppe Ridulfo?指出。
近年來，銀行已經(jīng)適應了越來越高的網(wǎng)絡安全標準，這也是銀行必須遵守的一系列法規(guī)的結果，例如PSD2?以及最近的歐洲法律?DORA（數(shù)字運營彈性法案），該法案的一部分歐盟委員會的數(shù)字金融一攬子計劃將于?2025?年?1?月?17?日起實施。
【睿觀：PSD2（第二支付服務指令）和?DORA（數(shù)字運營彈性法案）是歐盟制定的兩項重要法規(guī)，旨在提高金融服務行業(yè)的網(wǎng)絡安全水平。銀行需要采取措施遵守這些法規(guī)，以保護其客戶并降低風險。
（一）PSD2于?2018?年?1?月生效，旨在更新和加強歐盟支付服務市場的第一代法規(guī)（PSD1）。?PSD2?引入了許多新規(guī)定，包括：
強化客戶身份驗證和授權（SCA）要求，以降低欺詐風險。
開放銀行服務，使第三方供應商能夠訪問客戶的財務數(shù)據(jù)（經(jīng)客戶同意）。
加強支付服務提供商的風險管理和報告要求。
（二）DORA于?2022?年?9?月獲得歐盟委員會批準，將于?2025?年?1?月?17?日生效。?DORA?旨在建立一個全面的歐盟框架，以確保金融實體的運營彈性。?DORA?的主要目標是：
提高金融實體識別、報告和應對網(wǎng)絡安全事件的能力。
加強金融實體的運營風險管理能力。
提高金融實體的供應鏈彈性。
（三）PSD2和?DORA?之間的關鍵區(qū)別
PSD2專注于支付服務的安全性，而?DORA?涵蓋更廣泛的運營風險，包括網(wǎng)絡安全、IT?運營和供應鏈管理。?DORA?還引入了一些新的要求，例如：
金融實體必須進行壓力測試和情景分析，以評估其應對重大運營事件的能力。
金融實體必須制定和實施事件響應計劃。
金融實體必須定期報告其運營風險管理實踐。
（四）PSD2和?DORA?對銀行的影響
PSD2和?DORA?對銀行產(chǎn)生了重大影響。銀行需要采取以下措施以遵守這些法規(guī)：
升級其IT?系統(tǒng)以支持?SCA?和開放銀行。
加強其網(wǎng)絡安全風險管理實踐。
制定和實施事件響應計劃。
定期報告其運營風險管理實踐。
遵守PSD2?和?DORA?的好處
（五）遵守PSD2?和?DORA?可以為銀行帶來許多好處，包括：
提高客戶信心。
降低欺詐風險。
提高運營效率。
增強對網(wǎng)絡安全事件的抵御能力。】
Banca Etica與其合作伙伴?Cedacri?一起實施了動態(tài)欺詐檢測系統(tǒng)，該系統(tǒng)使用機器學習來了解客戶的日常行為并報告異常行為，例如特別大的銀行轉賬或來自非正常?IP?地址的連接。因此，從技術角度來看，里杜爾福表示，他有信心能夠保護公司并對任何攻擊做出反應。但還有其他因素會造成脆弱性。
“詐騙者非常善于利用人們的情感，”里杜爾福解釋道?！斑@是我們最難干預的地方。”
事實上，利用社會工程技術進行的人身攻擊很難攔截，因為欺詐者了解銀行和客戶之間的典型對話是什么，模仿機構的行為并設法讓客戶向他提供他的數(shù)據(jù)，完成騙局。以前，這種情況通常通過網(wǎng)絡釣魚電子郵件發(fā)生，但現(xiàn)在也通過電話發(fā)生。
“我提請管理層注意這一現(xiàn)象，要求他們在提高客戶意識方面投入更多資金，以便他們知道如何識別聯(lián)系他們的不是銀行而是冒充銀行的人，”Ridulfo?指出。?
鏈條中的另一個薄弱環(huán)節(jié)是供應鏈：“我們受到內部?IT?系統(tǒng)的保護，我們投資于內部培訓，我們已經(jīng)實施了攔截威脅的技術：我們感到足夠冷靜。但我們不能對供應商說同樣的話。”該經(jīng)理補充道。
歐洲NIS2?法規(guī)堅持將保護整個供應鏈作為企業(yè)網(wǎng)絡安全戰(zhàn)略的一部分，這并非巧合。
“我們生活在一個互聯(lián)的世界，所有技術都通過?API?連接。對于首席信息官來說，有必要了解企業(yè)生態(tài)系統(tǒng)內部和外部的互連，識別網(wǎng)絡威脅可能到達的薄弱環(huán)節(jié)”，Verizon?法國總裁兼歐洲、中東和非洲南部和比荷盧經(jīng)濟聯(lián)盟董事總經(jīng)理?Frédérique Liaigre?確認道商業(yè)。“尤其是今天，CIO?必須關注采購和供應商的選擇：15%?的攻擊來自供應鏈”。
二、人工智能：挑戰(zhàn)在于充分利用它
IDC研究強調，在網(wǎng)絡安全領域，人工智能是一把雙刃劍：它增加了自我防御的工具，但同時也是網(wǎng)絡犯罪手中的新技術。
然而，這不僅僅是CIO面臨的AI挑戰(zhàn)所在。許多IT?經(jīng)理認識到人工智能和自動化?(RPA)中寶貴的效率機會，因為該技術將接管機械和重復性任務，在這些任務中使用資源而不創(chuàng)造價值。但困難在于從原型轉向規(guī)?；a(chǎn)品。
Ridulfo報告稱，即使在銀行業(yè)也存在這種看法：更新信貸額度、更新客戶身份文件和聯(lián)系方式等操作以及其他類似任務會占用時間和資源，而不會產(chǎn)生業(yè)務，許多首席信息官希望實現(xiàn)自動化或為其提供支持人工智能。但往往它只是一個“愿望清單”，沒有達到完整的運營階段。
“公司經(jīng)常開發(fā)許多小型概念驗證(PoC)，其中（幾乎總是）一切正常，因為參與的元素被減少和簡化。然而，當原型擴展時，復雜性就會增加，從而導致成本和管理問題”，LIUC?–?Cattaneo?大學人工智能和營銷策略兼職教授、Growth Tribe of Partners?成員兼法國咨詢公司總監(jiān)?Michele Caruso?評論道。公司Artefact。
貝利還看到了人工智能在提高公司效率和創(chuàng)造業(yè)務方面的巨大機會。即使對于Qubica AMF，人工智能仍處于測試階段，但這里的問題是成本：“如果我們?yōu)楹笈_考慮一個生成式人工智能產(chǎn)品，乘以我們的內部用戶，我們會得到較低的投資回報，這對我們來說是不可行的?！苯?jīng)理說。
這并不意味著貝利放棄：他的解決辦法是通過試點項目進行，尋找一些資金來資助自己，并更加堅持地與供應商談判以獲得更優(yōu)惠的條件?！暗挥挟斘覀冇幸粋€用例能夠滿足我們的需求并真正產(chǎn)生效益時，我們才會這樣做，”他強調說。
三、IT人才短缺和薪資大戰(zhàn)，重復挑戰(zhàn)
首席信息官們報告的第三個長期挑戰(zhàn)是尋找IT技能：IT?人才稀缺且令人垂涎，而且其成本持續(xù)上升。候選人通常要求的?RAL?比許多公司（尤其是中小型公司）所能提供的高出?30%?左右。許多人要求能夠完全遠程工作，但并非所有公司都愿意提供這一好處?！绢Ｓ^：RAL?可能指的是?RAL?工資等級（RAL Salary Scale）。RAL?工資等級是德國的一套薪資標準，用于確定特定職位的薪酬范圍。它通常用于招聘和薪酬管理，并根據(jù)職位級別、工作經(jīng)驗和技能等因素來確定薪資范圍。IT?人才通常要求的?RAL?比許多公司（尤其是中小型公司）所能提供的高出?30%?左右。這表明?IT?人才的薪酬需求很高，而許多公司難以滿足這些需求?！?/span>
“對于數(shù)字檔案來說，一場‘工資上漲之戰(zhàn)’正在進行，這對整個市場產(chǎn)生了負面影響，因為中小企業(yè)被排除在這種經(jīng)濟上不可持續(xù)的競爭之外，并且造成了薪酬政策的內部不平等，”我們在最新的人力資源報告中讀到。米蘭理工大學管理學院創(chuàng)新實踐觀察站。
“我們已經(jīng)有幾個月的職位空缺了，例如開發(fā)領域的職位，”貝利報告道?！白鳛?span style="font-size: 16px; padding: 0px; outline: 0px; max-width: 100%; font-family: Calibri;">IT?總監(jiān)，我正在尋找也了解技術工具的分析師：作為一家中型公司，我們沒有專門從事各個領域的大型團隊，但我們需要能夠根據(jù)應用程序完成所有工作的人員。我們還很難找到?Azure?系統(tǒng)專家，許多候選人并沒有真正具備高水平的知識，并且仍然要求很高的?RAL，這對于中小型企業(yè)來說是不可持續(xù)的。”該經(jīng)理證實?！傲硪粋€困難是我們只進行部分遠程工作，因為我們相信團隊合作可以鞏固公司文化”。
出于同樣的原因，貝利不得不擱置一些客戶體驗項目：“我們缺乏技能?！?/span>
四、可能的解決方案：通過人工智能和培訓贏得人才挑戰(zhàn)
然而，人工智能可以為招聘IT人才的困難提供答案，從?RPA?開始：Polimi HR?創(chuàng)新實踐觀察站強調，自動化手動活動有助于釋放資源，分配給更專業(yè)的任務。顯然，公司必須同時開展一項特定的技能更新活動。
米歇爾·卡魯索表示：“公司采用人工智能和生成式人工智能需要對人的角色及其日常任務進行深刻的重新思考。”?“啟動技能提升和再培訓途徑至關重要；公司必須了解如何重新定義不再參與重復性活動的人員的角色，這些重復性活動很容易被人工智能取代，使他們朝著更具智力吸引力和成就感的任務邁進。這是一個深刻變革、提升、尋求人與機器之間新平衡的時刻。在人工智能項目中，必須始終保留人的因素：機器被分配到它最擅長的事情，而人類被分配到機器不能有效完成的事情。首席信息官（而不僅僅是他們）必須越來越能夠識別人與機器之間的互補因素”。
培訓對于留住人才也至關重要，這樣員工才能始終感受到自己的職業(yè)和個人成長得到“滋養(yǎng)”，并在公司組織中占有重要地位。
“找不到IT資源，因為沒有人培訓年輕人?！币獯罄患已芯繖C構的IT主管告訴我們。“我們在他們只有20-22?歲時就開始招收他們，通常還沒有學位，這很好，因為我們從頭開始：重要的是投資于準備學習的聰明人。然后，通過持續(xù)的培訓和刺激項目，我們確信我們能夠保留我們的資源。”
五、GenAI從原型到生產(chǎn)：重點必須是可擴展性
對于從原型轉向AI實現(xiàn)的難度，Caruso的建議是從一開始就將可擴展性的元素融入到PoC中，并提供清晰的底層業(yè)務案例，項目的自籌資金邏輯已經(jīng)處于測試階段。同樣重要的是，立即預見到放大階段中將存在的一般復雜性的縮小規(guī)模表示，接受原型的最大復雜性和極端簡化之間的折衷。
“其中一個關鍵因素取決于用于擴大規(guī)模的數(shù)據(jù)的質量和可用性，因為沒有數(shù)據(jù)=沒有人工智能或?GenAI；糟糕的數(shù)據(jù)?=?糟糕的人工智能或?GenAI”，教授強調道。“假設一家時尚公司的?CIO?開發(fā)了?GenAI?解決方案的?PoC，能夠自動生成產(chǎn)品表，確保所有信息的正確性。在設計階段，必須預見實際的妥協(xié)：例如，確保解決方案能夠覆蓋所有類型的產(chǎn)品、所有必要的、具有適當粒度（SKU、大小等）的可用數(shù)據(jù)類型。例如，卡片的任何更正或實時更新仍然由人類管理。這種極其具體和務實的做法將使首席信息官能夠保持高質量的工作，充分利用人工智能和人類智能之間的互補能力。”
Caruso強調的另一個要素是治理的需要，因為人工智能，尤其是其生成組件，代表著公司的新的進化飛躍，而風險在于，技術在沒有明確方向的情況下被添加到?IT?中，從而形成不一致的整體。
“數(shù)據(jù)治理和清晰的運營模型是起點：它們是構建和擴展各種人工智能項目的基礎，”卡魯索說。
六、網(wǎng)絡安全：零信任理念和?IT-業(yè)務合作
有效的做法也可以用于網(wǎng)絡安全。首先，采用零信任理念：“假設是：不存在先驗的信任，每個進入公司網(wǎng)絡的用戶都擁有其工作所需的最低訪問憑據(jù)。這有助于盡可能保護應用程序和數(shù)據(jù)?！?span style="font-size: 16px; padding: 0px; outline: 0px; max-width: 100%; font-family: Calibri;">Liaigre說道。
另一個最佳實踐是讓整個最高管理層在安全工作上進行合作：網(wǎng)絡安全并不是首席信息官的唯一責任。
“由于戰(zhàn)略數(shù)據(jù)、資產(chǎn)、業(yè)務連續(xù)性、資金和聲譽都面臨風險，網(wǎng)絡安全不僅僅是一個技術問題，而是關系到所有執(zhí)行董事的問題。這需要團隊合作：整個組織必須參與其中，因為網(wǎng)絡威脅影響到公司中的每個人或與公司有聯(lián)系的人?！?/span>Liaigre?強調道。
這種協(xié)作方法也適用于SASE（安全訪問服務邊緣），它是網(wǎng)絡安全領域最具創(chuàng)新性的范例之一，與零信任方法相關。它還包括技術合作伙伴：即使在可能的攻擊后恢復過程中，您身邊有一個能夠提供支持的供應商或顧問非常重要。由于這不再是“如果”的問題，而是“何時”的問題，因此我們“如何”應對以及“如何”恢復至關重要。
【睿觀：SASE（Secure Access Service Edge，安全訪問服務邊緣）是一種將網(wǎng)絡安全和網(wǎng)絡連接功能結合在一起的云端服務架構。它旨在為用戶提供安全、快速且無縫的訪問應用程序和資源的體驗，無論用戶位于何處。
（一）SASE的核心是 零信任 安全原則，該原則假定所有用戶和設備都是不可信的，必須在嘗試訪問任何資源之前進行身份驗證和授權。?SASE?架構使用各種技術來實現(xiàn)零信任，包括：
1.SDP（軟件定義邊界）：SDP是一種虛擬邊界，可根據(jù)用戶的身份和設備屬性動態(tài)創(chuàng)建。
2.CASB（云訪問安全代理）：CASB是一種安全網(wǎng)關，可用于控制對云應用程序的訪問。
3.SWG（安全Web?網(wǎng)關）：SWG?是一種安全網(wǎng)關，可用于過濾?Web?流量并阻止惡意內容。
4.FWaaS（防火墻即服務）：FWaaS是一種基于云的防火墻，可用于保護網(wǎng)絡免受未經(jīng)授權的訪問。
5.ZTNA（零信任網(wǎng)絡訪問）：ZTNA是一種安全架構，可用于僅向授權用戶授予對應用程序和資源的訪問權限。
（二）SASE的主要優(yōu)點包括：
1.提高安全性：SASE?的零信任方法可以幫助降低數(shù)據(jù)泄露和其他安全威脅的風險。
2.改善用戶體驗：SASE?可以提供更快速、更可靠的應用程序訪問，無論用戶位于何處。
3.降低成本：SASE?可以簡化網(wǎng)絡安全管理并降低成本。
（三）微軟藍屏事件中的SASE?協(xié)作
針對最近的微軟藍屏事件中，SASE可發(fā)揮重要作用，幫助組織減輕事件的影響。以下是一些?SASE?如何幫助組織的示例：
SASE使組織能夠更快地從事件中恢復。例如，SDP?可用于快速創(chuàng)建新的虛擬邊界以隔離新系統(tǒng)，而?ZTNA?可用于快速授予恢復人員對關鍵應用程序的訪問權限?！?/span>
