GenAI提高了人們對網(wǎng)絡(luò)威脅的認(rèn)識。人工智能項(xiàng)目正在進(jìn)行中，但正在努力擺脫原型階段。由于難以找到合格的?IT?資源，一些管理人員不得不將一些開發(fā)工作置于待命狀態(tài)。以下是首席信息官擔(dān)心的三個(gè)障礙的可能解決方案。
來源：SHUTTERSTOCK
CIO負(fù)責(zé)許多活動(dòng)，以及首席信息官在數(shù)字項(xiàng)目過程中遇到的障礙。但正如?IDC?最新數(shù)據(jù)顯示的那樣，網(wǎng)絡(luò)安全仍然是頭號挑戰(zhàn)，以至于它成為一個(gè)不斷增加的預(yù)算項(xiàng)目。分析師預(yù)測，到?2024?年，歐洲的網(wǎng)絡(luò)安全支出將增長?12.3%；未來幾年增長也將保持兩位數(shù)，到?2027?年將達(dá)到?840?億美元。驅(qū)動(dòng)因素之一是生成式人工智能的傳播：新應(yīng)用需要網(wǎng)絡(luò)安全保護(hù)。
“確保安全變得越來越困難。我們需要投入越來越多的資金，決不能放松警惕”，Qubica AMF的?IT?總監(jiān)?Sonia Belli?強(qiáng)調(diào)道，Qubica AMF?是一家博洛尼亞公司，也是全球最大的保齡球館生產(chǎn)商之一?！艾F(xiàn)在有了?Gen AI，安全性將變得更加重要，因?yàn)樾录夹g(shù)也被網(wǎng)絡(luò)犯罪分子用來創(chuàng)建試圖進(jìn)入網(wǎng)絡(luò)的機(jī)器人?！?/span>
一、網(wǎng)絡(luò)安全，首先要應(yīng)對的挑戰(zhàn)
在最近的Cegos Barometer（學(xué)習(xí)與發(fā)展領(lǐng)域的國際參與者）中，網(wǎng)絡(luò)安全也位居信息技術(shù)總監(jiān)最關(guān)心的問題之首。?Cegos Italia?業(yè)務(wù)轉(zhuǎn)型主管兼執(zhí)行主管?Emanuela Pignataro?評論道，這一定位“是因?yàn)榫W(wǎng)絡(luò)攻擊不斷增加，并對業(yè)務(wù)和連續(xù)性產(chǎn)生了重大影響”?！笆紫畔⒐僬J(rèn)為，盡管以一切可能的方式保護(hù)公司，但網(wǎng)絡(luò)攻擊遲早會(huì)發(fā)生，因此，其真正關(guān)心的問題和真正的職責(zé)集中在盡可能減輕影響并盡可能恢復(fù)系統(tǒng)和運(yùn)營。盡可能快地、最大程度地”。
首席信息官們還意識到，網(wǎng)絡(luò)犯罪分子并不是孤立的黑客，而是越來越多地成為擁有大量預(yù)算的有組織實(shí)體：因此受到高度關(guān)注。
“如今，技術(shù)日益成為企業(yè)業(yè)務(wù)的基礎(chǔ)，但它也可能成為故障點(diǎn)，”Banca Popolare Etica組織部副部長兼信息系統(tǒng)負(fù)責(zé)人?Giuseppe Ridulfo?指出。
近年來，銀行已經(jīng)適應(yīng)了越來越高的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)，這也是銀行必須遵守的一系列法規(guī)的結(jié)果，例如PSD2?以及最近的歐洲法律?DORA（數(shù)字運(yùn)營彈性法案），該法案的一部分歐盟委員會(huì)的數(shù)字金融一攬子計(jì)劃將于?2025?年?1?月?17?日起實(shí)施。
【睿觀：PSD2（第二支付服務(wù)指令）和?DORA（數(shù)字運(yùn)營彈性法案）是歐盟制定的兩項(xiàng)重要法規(guī)，旨在提高金融服務(wù)行業(yè)的網(wǎng)絡(luò)安全水平。銀行需要采取措施遵守這些法規(guī)，以保護(hù)其客戶并降低風(fēng)險(xiǎn)。
（一）PSD2于?2018?年?1?月生效，旨在更新和加強(qiáng)歐盟支付服務(wù)市場的第一代法規(guī)（PSD1）。?PSD2?引入了許多新規(guī)定，包括：
強(qiáng)化客戶身份驗(yàn)證和授權(quán)（SCA）要求，以降低欺詐風(fēng)險(xiǎn)。
開放銀行服務(wù)，使第三方供應(yīng)商能夠訪問客戶的財(cái)務(wù)數(shù)據(jù)（經(jīng)客戶同意）。
加強(qiáng)支付服務(wù)提供商的風(fēng)險(xiǎn)管理和報(bào)告要求。
（二）DORA于?2022?年?9?月獲得歐盟委員會(huì)批準(zhǔn)，將于?2025?年?1?月?17?日生效。?DORA?旨在建立一個(gè)全面的歐盟框架，以確保金融實(shí)體的運(yùn)營彈性。?DORA?的主要目標(biāo)是：
提高金融實(shí)體識別、報(bào)告和應(yīng)對網(wǎng)絡(luò)安全事件的能力。
加強(qiáng)金融實(shí)體的運(yùn)營風(fēng)險(xiǎn)管理能力。
提高金融實(shí)體的供應(yīng)鏈彈性。
（三）PSD2和?DORA?之間的關(guān)鍵區(qū)別
PSD2專注于支付服務(wù)的安全性，而?DORA?涵蓋更廣泛的運(yùn)營風(fēng)險(xiǎn)，包括網(wǎng)絡(luò)安全、IT?運(yùn)營和供應(yīng)鏈管理。?DORA?還引入了一些新的要求，例如：
金融實(shí)體必須進(jìn)行壓力測試和情景分析，以評估其應(yīng)對重大運(yùn)營事件的能力。
金融實(shí)體必須制定和實(shí)施事件響應(yīng)計(jì)劃。
金融實(shí)體必須定期報(bào)告其運(yùn)營風(fēng)險(xiǎn)管理實(shí)踐。
（四）PSD2和?DORA?對銀行的影響
PSD2和?DORA?對銀行產(chǎn)生了重大影響。銀行需要采取以下措施以遵守這些法規(guī)：
升級其IT?系統(tǒng)以支持?SCA?和開放銀行。
加強(qiáng)其網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理實(shí)踐。
制定和實(shí)施事件響應(yīng)計(jì)劃。
定期報(bào)告其運(yùn)營風(fēng)險(xiǎn)管理實(shí)踐。
遵守PSD2?和?DORA?的好處
（五）遵守PSD2?和?DORA?可以為銀行帶來許多好處，包括：
提高客戶信心。
降低欺詐風(fēng)險(xiǎn)。
提高運(yùn)營效率。
增強(qiáng)對網(wǎng)絡(luò)安全事件的抵御能力?！?/span>
Banca Etica與其合作伙伴?Cedacri?一起實(shí)施了動(dòng)態(tài)欺詐檢測系統(tǒng)，該系統(tǒng)使用機(jī)器學(xué)習(xí)來了解客戶的日常行為并報(bào)告異常行為，例如特別大的銀行轉(zhuǎn)賬或來自非正常?IP?地址的連接。因此，從技術(shù)角度來看，里杜爾福表示，他有信心能夠保護(hù)公司并對任何攻擊做出反應(yīng)。但還有其他因素會(huì)造成脆弱性。
“詐騙者非常善于利用人們的情感，”里杜爾福解釋道?！斑@是我們最難干預(yù)的地方。”
事實(shí)上，利用社會(huì)工程技術(shù)進(jìn)行的人身攻擊很難攔截，因?yàn)槠墼p者了解銀行和客戶之間的典型對話是什么，模仿機(jī)構(gòu)的行為并設(shè)法讓客戶向他提供他的數(shù)據(jù)，完成騙局。以前，這種情況通常通過網(wǎng)絡(luò)釣魚電子郵件發(fā)生，但現(xiàn)在也通過電話發(fā)生。
“我提請管理層注意這一現(xiàn)象，要求他們在提高客戶意識方面投入更多資金，以便他們知道如何識別聯(lián)系他們的不是銀行而是冒充銀行的人，”Ridulfo?指出。?
鏈條中的另一個(gè)薄弱環(huán)節(jié)是供應(yīng)鏈：“我們受到內(nèi)部?IT?系統(tǒng)的保護(hù)，我們投資于內(nèi)部培訓(xùn)，我們已經(jīng)實(shí)施了攔截威脅的技術(shù)：我們感到足夠冷靜。但我們不能對供應(yīng)商說同樣的話。”該經(jīng)理補(bǔ)充道。
歐洲NIS2?法規(guī)堅(jiān)持將保護(hù)整個(gè)供應(yīng)鏈作為企業(yè)網(wǎng)絡(luò)安全戰(zhàn)略的一部分，這并非巧合。
“我們生活在一個(gè)互聯(lián)的世界，所有技術(shù)都通過?API?連接。對于首席信息官來說，有必要了解企業(yè)生態(tài)系統(tǒng)內(nèi)部和外部的互連，識別網(wǎng)絡(luò)威脅可能到達(dá)的薄弱環(huán)節(jié)”，Verizon?法國總裁兼歐洲、中東和非洲南部和比荷盧經(jīng)濟(jì)聯(lián)盟董事總經(jīng)理?Frédérique Liaigre?確認(rèn)道商業(yè)?！坝绕涫墙裉欤?span style="font-size: 16px; padding: 0px; outline: 0px; max-width: 100%; box-sizing: border-box !important; overflow-wrap: break-word !important;">CIO?必須關(guān)注采購和供應(yīng)商的選擇：15%?的攻擊來自供應(yīng)鏈”。
二、人工智能：挑戰(zhàn)在于充分利用它
IDC研究強(qiáng)調(diào)，在網(wǎng)絡(luò)安全領(lǐng)域，人工智能是一把雙刃劍：它增加了自我防御的工具，但同時(shí)也是網(wǎng)絡(luò)犯罪手中的新技術(shù)。
然而，這不僅僅是CIO面臨的AI挑戰(zhàn)所在。許多IT?經(jīng)理認(rèn)識到人工智能和自動(dòng)化?(RPA)中寶貴的效率機(jī)會(huì)，因?yàn)樵摷夹g(shù)將接管機(jī)械和重復(fù)性任務(wù)，在這些任務(wù)中使用資源而不創(chuàng)造價(jià)值。但困難在于從原型轉(zhuǎn)向規(guī)?；a(chǎn)品。
Ridulfo報(bào)告稱，即使在銀行業(yè)也存在這種看法：更新信貸額度、更新客戶身份文件和聯(lián)系方式等操作以及其他類似任務(wù)會(huì)占用時(shí)間和資源，而不會(huì)產(chǎn)生業(yè)務(wù)，許多首席信息官希望實(shí)現(xiàn)自動(dòng)化或?yàn)槠涮峁┲С秩斯ぶ悄?。但往往它只是一個(gè)“愿望清單”，沒有達(dá)到完整的運(yùn)營階段。
“公司經(jīng)常開發(fā)許多小型概念驗(yàn)證(PoC)，其中（幾乎總是）一切正常，因?yàn)閰⑴c的元素被減少和簡化。然而，當(dāng)原型擴(kuò)展時(shí)，復(fù)雜性就會(huì)增加，從而導(dǎo)致成本和管理問題”，LIUC?–?Cattaneo?大學(xué)人工智能和營銷策略兼職教授、Growth Tribe of Partners?成員兼法國咨詢公司總監(jiān)?Michele Caruso?評論道。公司Artefact。
貝利還看到了人工智能在提高公司效率和創(chuàng)造業(yè)務(wù)方面的巨大機(jī)會(huì)。即使對于Qubica AMF，人工智能仍處于測試階段，但這里的問題是成本：“如果我們?yōu)楹笈_(tái)考慮一個(gè)生成式人工智能產(chǎn)品，乘以我們的內(nèi)部用戶，我們會(huì)得到較低的投資回報(bào)，這對我們來說是不可行的?！苯?jīng)理說。
這并不意味著貝利放棄：他的解決辦法是通過試點(diǎn)項(xiàng)目進(jìn)行，尋找一些資金來資助自己，并更加堅(jiān)持地與供應(yīng)商談判以獲得更優(yōu)惠的條件。“但只有當(dāng)我們有一個(gè)用例能夠滿足我們的需求并真正產(chǎn)生效益時(shí)，我們才會(huì)這樣做，”他強(qiáng)調(diào)說。
三、IT人才短缺和薪資大戰(zhàn)，重復(fù)挑戰(zhàn)
首席信息官們報(bào)告的第三個(gè)長期挑戰(zhàn)是尋找IT技能：IT?人才稀缺且令人垂涎，而且其成本持續(xù)上升。候選人通常要求的?RAL?比許多公司（尤其是中小型公司）所能提供的高出?30%?左右。許多人要求能夠完全遠(yuǎn)程工作，但并非所有公司都愿意提供這一好處?！绢Ｓ^：RAL?可能指的是?RAL?工資等級（RAL Salary Scale）。RAL?工資等級是德國的一套薪資標(biāo)準(zhǔn)，用于確定特定職位的薪酬范圍。它通常用于招聘和薪酬管理，并根據(jù)職位級別、工作經(jīng)驗(yàn)和技能等因素來確定薪資范圍。IT?人才通常要求的?RAL?比許多公司（尤其是中小型公司）所能提供的高出?30%?左右。這表明?IT?人才的薪酬需求很高，而許多公司難以滿足這些需求?！?/span>
“對于數(shù)字檔案來說，一場‘工資上漲之戰(zhàn)’正在進(jìn)行，這對整個(gè)市場產(chǎn)生了負(fù)面影響，因?yàn)橹行∑髽I(yè)被排除在這種經(jīng)濟(jì)上不可持續(xù)的競爭之外，并且造成了薪酬政策的內(nèi)部不平等，”我們在最新的人力資源報(bào)告中讀到。米蘭理工大學(xué)管理學(xué)院創(chuàng)新實(shí)踐觀察站。
“我們已經(jīng)有幾個(gè)月的職位空缺了，例如開發(fā)領(lǐng)域的職位，”貝利報(bào)告道?！白鳛?span style="font-size: 16px; padding: 0px; outline: 0px; max-width: 100%; font-family: Calibri;">IT?總監(jiān)，我正在尋找也了解技術(shù)工具的分析師：作為一家中型公司，我們沒有專門從事各個(gè)領(lǐng)域的大型團(tuán)隊(duì)，但我們需要能夠根據(jù)應(yīng)用程序完成所有工作的人員。我們還很難找到?Azure?系統(tǒng)專家，許多候選人并沒有真正具備高水平的知識，并且仍然要求很高的?RAL，這對于中小型企業(yè)來說是不可持續(xù)的。”該經(jīng)理證實(shí)?！傲硪粋€(gè)困難是我們只進(jìn)行部分遠(yuǎn)程工作，因?yàn)槲覀兿嘈艌F(tuán)隊(duì)合作可以鞏固公司文化”。
出于同樣的原因，貝利不得不擱置一些客戶體驗(yàn)項(xiàng)目：“我們?nèi)狈寄?。?/span>
四、可能的解決方案：通過人工智能和培訓(xùn)贏得人才挑戰(zhàn)
然而，人工智能可以為招聘IT人才的困難提供答案，從?RPA?開始：Polimi HR?創(chuàng)新實(shí)踐觀察站強(qiáng)調(diào)，自動(dòng)化手動(dòng)活動(dòng)有助于釋放資源，分配給更專業(yè)的任務(wù)。顯然，公司必須同時(shí)開展一項(xiàng)特定的技能更新活動(dòng)。
米歇爾·卡魯索表示：“公司采用人工智能和生成式人工智能需要對人的角色及其日常任務(wù)進(jìn)行深刻的重新思考?！?/span>?“啟動(dòng)技能提升和再培訓(xùn)途徑至關(guān)重要；公司必須了解如何重新定義不再參與重復(fù)性活動(dòng)的人員的角色，這些重復(fù)性活動(dòng)很容易被人工智能取代，使他們朝著更具智力吸引力和成就感的任務(wù)邁進(jìn)。這是一個(gè)深刻變革、提升、尋求人與機(jī)器之間新平衡的時(shí)刻。在人工智能項(xiàng)目中，必須始終保留人的因素：機(jī)器被分配到它最擅長的事情，而人類被分配到機(jī)器不能有效完成的事情。首席信息官（而不僅僅是他們）必須越來越能夠識別人與機(jī)器之間的互補(bǔ)因素”。
培訓(xùn)對于留住人才也至關(guān)重要，這樣員工才能始終感受到自己的職業(yè)和個(gè)人成長得到“滋養(yǎng)”，并在公司組織中占有重要地位。
“找不到IT資源，因?yàn)闆]有人培訓(xùn)年輕人?！币獯罄患已芯繖C(jī)構(gòu)的IT主管告訴我們?！拔覀冊谒麄冎挥?span style="color: rgb(0, 0, 255); font-size: 16px; padding: 0px; outline: 0px; max-width: 100%; font-family: Calibri;">20-22?歲時(shí)就開始招收他們，通常還沒有學(xué)位，這很好，因?yàn)槲覀儚念^開始：重要的是投資于準(zhǔn)備學(xué)習(xí)的聰明人。然后，通過持續(xù)的培訓(xùn)和刺激項(xiàng)目，我們確信我們能夠保留我們的資源?！?/span>
五、GenAI從原型到生產(chǎn)：重點(diǎn)必須是可擴(kuò)展性
對于從原型轉(zhuǎn)向AI實(shí)現(xiàn)的難度，Caruso的建議是從一開始就將可擴(kuò)展性的元素融入到PoC中，并提供清晰的底層業(yè)務(wù)案例，項(xiàng)目的自籌資金邏輯已經(jīng)處于測試階段。同樣重要的是，立即預(yù)見到放大階段中將存在的一般復(fù)雜性的縮小規(guī)模表示，接受原型的最大復(fù)雜性和極端簡化之間的折衷。
“其中一個(gè)關(guān)鍵因素取決于用于擴(kuò)大規(guī)模的數(shù)據(jù)的質(zhì)量和可用性，因?yàn)闆]有數(shù)據(jù)=沒有人工智能或?GenAI；糟糕的數(shù)據(jù)?=?糟糕的人工智能或?GenAI”，教授強(qiáng)調(diào)道?！?/span>假設(shè)一家時(shí)尚公司的?CIO?開發(fā)了?GenAI?解決方案的?PoC，能夠自動(dòng)生成產(chǎn)品表，確保所有信息的正確性。在設(shè)計(jì)階段，必須預(yù)見實(shí)際的妥協(xié)：例如，確保解決方案能夠覆蓋所有類型的產(chǎn)品、所有必要的、具有適當(dāng)粒度（SKU、大小等）的可用數(shù)據(jù)類型。例如，卡片的任何更正或?qū)崟r(shí)更新仍然由人類管理。這種極其具體和務(wù)實(shí)的做法將使首席信息官能夠保持高質(zhì)量的工作，充分利用人工智能和人類智能之間的互補(bǔ)能力?！?/span>
Caruso強(qiáng)調(diào)的另一個(gè)要素是治理的需要，因?yàn)槿斯ぶ悄?，尤其是其生成組件，代表著公司的新的進(jìn)化飛躍，而風(fēng)險(xiǎn)在于，技術(shù)在沒有明確方向的情況下被添加到?IT?中，從而形成不一致的整體。
“數(shù)據(jù)治理和清晰的運(yùn)營模型是起點(diǎn)：它們是構(gòu)建和擴(kuò)展各種人工智能項(xiàng)目的基礎(chǔ)，”卡魯索說。
六、網(wǎng)絡(luò)安全：零信任理念和?IT-業(yè)務(wù)合作
有效的做法也可以用于網(wǎng)絡(luò)安全。首先，采用零信任理念：“假設(shè)是：不存在先驗(yàn)的信任，每個(gè)進(jìn)入公司網(wǎng)絡(luò)的用戶都擁有其工作所需的最低訪問憑據(jù)。這有助于盡可能保護(hù)應(yīng)用程序和數(shù)據(jù)?！?span style="font-size: 16px; padding: 0px; outline: 0px; max-width: 100%; font-family: Calibri;">Liaigre說道。
另一個(gè)最佳實(shí)踐是讓整個(gè)最高管理層在安全工作上進(jìn)行合作：網(wǎng)絡(luò)安全并不是首席信息官的唯一責(zé)任。
“由于戰(zhàn)略數(shù)據(jù)、資產(chǎn)、業(yè)務(wù)連續(xù)性、資金和聲譽(yù)都面臨風(fēng)險(xiǎn)，網(wǎng)絡(luò)安全不僅僅是一個(gè)技術(shù)問題，而是關(guān)系到所有執(zhí)行董事的問題。這需要團(tuán)隊(duì)合作：整個(gè)組織必須參與其中，因?yàn)榫W(wǎng)絡(luò)威脅影響到公司中的每個(gè)人或與公司有聯(lián)系的人。”Liaigre?強(qiáng)調(diào)道。
這種協(xié)作方法也適用于SASE（安全訪問服務(wù)邊緣），它是網(wǎng)絡(luò)安全領(lǐng)域最具創(chuàng)新性的范例之一，與零信任方法相關(guān)。它還包括技術(shù)合作伙伴：即使在可能的攻擊后恢復(fù)過程中，您身邊有一個(gè)能夠提供支持的供應(yīng)商或顧問非常重要。由于這不再是“如果”的問題，而是“何時(shí)”的問題，因此我們“如何”應(yīng)對以及“如何”恢復(fù)至關(guān)重要。
【睿觀：SASE（Secure Access Service Edge，安全訪問服務(wù)邊緣）是一種將網(wǎng)絡(luò)安全和網(wǎng)絡(luò)連接功能結(jié)合在一起的云端服務(wù)架構(gòu)。它旨在為用戶提供安全、快速且無縫的訪問應(yīng)用程序和資源的體驗(yàn)，無論用戶位于何處。
（一）SASE的核心是 零信任 安全原則，該原則假定所有用戶和設(shè)備都是不可信的，必須在嘗試訪問任何資源之前進(jìn)行身份驗(yàn)證和授權(quán)。?SASE?架構(gòu)使用各種技術(shù)來實(shí)現(xiàn)零信任，包括：
1.SDP（軟件定義邊界）：SDP是一種虛擬邊界，可根據(jù)用戶的身份和設(shè)備屬性動(dòng)態(tài)創(chuàng)建。
2.CASB（云訪問安全代理）：CASB是一種安全網(wǎng)關(guān)，可用于控制對云應(yīng)用程序的訪問。
3.SWG（安全Web?網(wǎng)關(guān)）：SWG?是一種安全網(wǎng)關(guān)，可用于過濾?Web?流量并阻止惡意內(nèi)容。
4.FWaaS（防火墻即服務(wù)）：FWaaS是一種基于云的防火墻，可用于保護(hù)網(wǎng)絡(luò)免受未經(jīng)授權(quán)的訪問。
5.ZTNA（零信任網(wǎng)絡(luò)訪問）：ZTNA是一種安全架構(gòu)，可用于僅向授權(quán)用戶授予對應(yīng)用程序和資源的訪問權(quán)限。
（二）SASE的主要優(yōu)點(diǎn)包括：
1.提高安全性：SASE?的零信任方法可以幫助降低數(shù)據(jù)泄露和其他安全威脅的風(fēng)險(xiǎn)。
2.改善用戶體驗(yàn)：SASE?可以提供更快速、更可靠的應(yīng)用程序訪問，無論用戶位于何處。
3.降低成本：SASE?可以簡化網(wǎng)絡(luò)安全管理并降低成本。
（三）微軟藍(lán)屏事件中的SASE?協(xié)作
針對最近的微軟藍(lán)屏事件中，SASE可發(fā)揮重要作用，幫助組織減輕事件的影響。以下是一些?SASE?如何幫助組織的示例：
SASE使組織能夠更快地從事件中恢復(fù)。例如，SDP?可用于快速創(chuàng)建新的虛擬邊界以隔離新系統(tǒng)，而?ZTNA?可用于快速授予恢復(fù)人員對關(guān)鍵應(yīng)用程序的訪問權(quán)限?！?/span>
