調(diào)查顯示：IT投入中安全占比最高
數(shù)字化轉(zhuǎn)型正在加速，但為相應(yīng)的文化轉(zhuǎn)變提供資金支持似乎并未得到企業(yè)的關(guān)注。紅帽于2020年7月到9月面向1470位IT專業(yè)人員展開《2021年全球技術(shù)展望》調(diào)查，受訪者們大多來自年?duì)I收超過1億美元的廠商，涵蓋紅帽客戶以及更廣泛的行業(yè)領(lǐng)先企業(yè)。
雖然多數(shù)企業(yè)并不關(guān)注文化變革，但技術(shù)/技能培訓(xùn)、人員與流程技能培訓(xùn)、以及IT/開發(fā)人員招聘與留存都得到了有力的資金支持，被視為數(shù)字化轉(zhuǎn)型戰(zhàn)略中的重要組成部分。有人認(rèn)為對(duì)文化轉(zhuǎn)變的忽略可能代表著企業(yè)過分關(guān)注具體的、實(shí)踐層面的問題，但從其他開支方向來看，他們總體上更重視人的因素。
而在IT資金優(yōu)先級(jí)方面，IT安全性意外在本輪調(diào)查中位居榜首，有45%的受訪者將安全視為頭等大事�？紤]到安全長(zhǎng)期以來一直處于資金不足、極度缺乏關(guān)注的尷尬地位，此次顯露出的轉(zhuǎn)變趨勢(shì)無疑值得我們深入剖析。
下面來看其他幾項(xiàng)與安全相關(guān)的數(shù)據(jù)：
- 在企業(yè)的預(yù)算清單中，提升安全性的重要度（32%）僅僅稍遜于提升效率（37%）。面對(duì)逐步惡化的威脅形勢(shì)，也許加大安全投入以阻遏安全隱患已經(jīng)成為一種必需。
- 良好的安全性與合規(guī)性已經(jīng)成為數(shù)字化轉(zhuǎn)型獲得成功的必要前提（但其優(yōu)先級(jí)仍然略低于集成問題）。
IT領(lǐng)導(dǎo)者抱有哪些安全顧慮？以多數(shù)組織為什么堅(jiān)持在本地設(shè)施中運(yùn)行某些應(yīng)用程序?yàn)槔�，答案主要集中在�?shù)據(jù)隱私性與數(shù)據(jù)安全性層面，占比分別為39%。
但需要重申的是，本地設(shè)施運(yùn)行并一定就更加安全——大型公有云服務(wù)商往往擁有豐富的專業(yè)知識(shí)，而且在保護(hù)自有數(shù)據(jù)中心及所運(yùn)行的軟件方面投入了巨量資金。盡管如此，不少IT領(lǐng)導(dǎo)者仍然希望在本地設(shè)施內(nèi)運(yùn)行特別重要的工作負(fù)載，借此實(shí)現(xiàn)更好的控制度與可見性。
下面我們具體來看最重視安全支出這部分受訪者的詳盡優(yōu)先級(jí)考量。在這部分受訪者中，網(wǎng)絡(luò)安全排名最高（占比為42%），緊隨其后的為云安全性與數(shù)據(jù)保護(hù)/隱私/主權(quán)。另有30%的受訪者將“威脅檢測(cè)與響應(yīng)”視為首要任務(wù)。
在紅帽發(fā)布的《2021年企業(yè)開源現(xiàn)狀》報(bào)告中，安全同樣得到高度關(guān)注。報(bào)告確定，安全性已經(jīng)成為企業(yè)開源的最大優(yōu)勢(shì)，同時(shí)也與“軟件質(zhì)量”及“安全能力”等開源應(yīng)用屬性密切相關(guān)。此次調(diào)查涵蓋全球1250位IT領(lǐng)導(dǎo)者。
此外，87%的受訪者認(rèn)為企業(yè)級(jí)開源軟件比專有軟件“同樣安全”或者“更加安全”；84%的受訪者表示企業(yè)級(jí)開源軟件“已經(jīng)成為組織安全策略的核心組成部分”。
這些數(shù)據(jù)到底帶來了哪些啟示？我們不妨從以下幾個(gè)角度嘗試解讀。首先，人們對(duì)于軟件供應(yīng)鏈安全等問題的認(rèn)知與關(guān)注度正日益增強(qiáng)。
安全支出比以往任何時(shí)候都更加重要，至少不再明顯落后于其他預(yù)算方向。換句話說，對(duì)軟件供應(yīng)鏈安全性等問題的重視，例如分析所使用軟件庫的來源與已知漏洞等，代表我們已經(jīng)在安全保障方面邁出重要一步。
盡管技術(shù)自動(dòng)化的優(yōu)先級(jí)不及安全性高，但運(yùn)營自動(dòng)化仍然擁有一定地位，至少高于應(yīng)用程序開發(fā)。這一點(diǎn)非常重要，因?yàn)槭聦?shí)證明自動(dòng)化正是軟件開發(fā)安全中不可或缺的一部分。整個(gè)行業(yè)也意識(shí)到，自動(dòng)化應(yīng)該在開發(fā)流程中盡可能“左移”，或者說越早引入越好。這一點(diǎn)不僅體現(xiàn)在自動(dòng)化掃描等安全工具當(dāng)中，同時(shí)也體現(xiàn)在自動(dòng)化配置與測(cè)試層面，可避免因一致性缺失而引發(fā)安全隱患。
最后，IT領(lǐng)導(dǎo)者在安全觀念方面的轉(zhuǎn)變，也與企業(yè)在開源道路上的探索密不可分。以往，很多人一直對(duì)開源代碼的安全性感到擔(dān)憂，認(rèn)為攻擊者也能夠深入查看代碼內(nèi)容。這種擔(dān)心不無道理，畢竟對(duì)自己的代碼質(zhì)量更有信心，大家也不愿公開警報(bào)系統(tǒng)的底層信息。
但結(jié)合實(shí)際情況，絕大部分成功攻擊源自暴力滲透，跟項(xiàng)目源代碼的關(guān)系不大。所以代碼完全公開即使不能算是安全優(yōu)勢(shì)，也并不像很多人想象中那么可怕。根據(jù)調(diào)查，相當(dāng)一部分領(lǐng)導(dǎo)者已經(jīng)認(rèn)定企業(yè)級(jí)開源軟件的安全水平至少不遜于專有方案。
