编者按: 这是为期一周的ISACA Now系列博客中的第二篇，该系列博客展望了数字信任领域从业者在2022年的首要任务. 参见之前的帖子 展望2022年的审计从业者.
安全人才的可用性（或缺乏）已成为信息安全保护现代业务能力的关键限制因素. 每年我都会为自己和团队制定一个学习计划, 因为我相信真正优秀的安全专业人员是不断学习的结果. 我将自己和团队的学习与关键业务目标和目的结合起来. 以业务为中心, 透明的安全服务组合, 组织应该使用业务目标来定义一组投资组合目标，以指导他们如何投资于技术, 在考虑单个项目之前，跨越澳门赌场官方下载不同需求的技能和过程开发. 而不是在投资组合目标上平均分配投资, ciso应该有意识地将不成比例的投资引向澳门赌场官方下载的关键战略优先事项. 我们必须认识到，我们的人才发展应该反映我们的投资组合路线图，并成为新服务开发预算的一部分.
以下是我和我的团队在2022年重点打造的三个网络安全领域：
优先级1：云安全
由于大流行，组织加速了向云的迁移, 由于硬件短缺和远程工作. 组织建立卓越的云安全中心至关重要. 据云安全联盟和分析公司高德纳称, 云的错误配置仍然是云的主要威胁之一.
云是复杂的，AWS和Azure有超过200个服务. 如果您还没有开始构建您的云知识，那么您必须从今天开始这一旅程. 理解共享责任模型如何改变了治理和风险是至关重要的. 我已经完成了我的云基础知识，但如果你还没有, ISACA是一个很好的起点 云基础课程 作为 通过了新兴技术(CET)证书. 每个云服务提供商也有一个云基础培训课程： AWS, GCP 和 Azure. 您可以轻松地在您选择的云中设置一个免费的租户，以确保您获得实践经验.
作为云安全卓越中心发展的一部分, 我还建议制定一个培训计划，清楚地概述你应该达到的知识水平，或者你要求你的团队达到的知识水平. 我总是在我的技能路线图中添加指导，因为我承认，知道我是否真正理解某件事的最好方法是，我是否能向别人解释这个概念. 它还使我能够在我的组织内建立云安全知识，以及一个持续学习和指导的环境, 反过来, 启用学习管道.
优先级2：数据安全
数据是推动数字化转型的石油, 但如果数据是新的石油, 那我们就有漏洞了. 数据是公司最大的资产，全球监管机构正越来越多地寻求制定数据隐私法，以确保组织充分保护他们收集的数据. 作为一名安全专家, 了解我们如何维护的不仅仅是安全, 但数据的隐私是至关重要的. 我完成了 注册数据隐私解决方案工程师（CDPSE） 今年，我将继续专注于提高我的技能
- 隐私治理
- 隐私的架构
- 数据生命周期
我们越来越多地将数据存储在物联网传感器上, 在边缘, 在云中的数据湖和本地的数据存储库中. 我也在努力确保我不仅了解数据生命周期的基础知识，而且还了解能够收集和使用数据的关键架构.
优先级3：下一代安全操作
恶意软件以光速传播. 2017年的WannaCry攻击在24小时内覆盖了150个国家，直到安全研究员马库斯·哈钦斯（Marcus Hutchins）发现了一个终止开关. 安全事件和事件管理（SIEM）不再是SOC的核心. 相反，我们正在向XDR迈进. 扩展的检测和响应, 或XDR, 威胁检测和响应的新方法是否支持自动隔离威胁. 安全运维中心需要收集和自动关联多个安全层——端点的数据, 服务器和云工作负载. 我想确保我完全了解如何使soc现代化和优化.
我正在努力解决这个问题 谷歌, 亚马逊和微软围绕现代SOC操作进行培训，以获得有关csp如何展望未来SOC的额外信息. 大多数对威胁的自动响应都是由脚本驱动的. 我专注于构建安全响应和风险评估的脚本目录. 这意味着学习Python和PowerShell是我的首要任务，上面有一些很棒的资源 PowerShell 和 Python. 虽然我可能永远不会成为一个编程天才, 我希望能够说一种脚本语言足够好，这样我就可以自动化我需要自动化. 我可能会让SOC操作人员去ISACA CSX网络安全从业者（CSX- p）认证 或SANS的课程. 作为一名管理者，我可能会把更多的知识集中在设计方面.
良好的安全性是人员、流程和技术的结合. 推动技术发展的是人和流程. 持续学习的文化使您能够建立安全人才管道，并使人员和流程成为网络安全交付等式的一部分. 每个专业人员都应该有一个个人技能发展计划，我们必须重视和奖励澳门赌场官方下载各个领域的知识. 这是建立一个真正成功的、有弹性的、面向未来的组织的关键.
