在当前经济寒冬中，网络犯罪和内部威胁愈发活跃，然而越来越多的企业却将“降本增效”的目光投向了网络安全部门，使得许多安全团队陷入“既要让马跑得快，又要让马不吃草”的困境。
实际上，将网络安全视为一项成本支出是企业数字化转型过程中最大的认知误区之一。网络安全的支出和投资在当今全球企业IT中具有最高的优先级，在经济衰退和数字风险急剧增加的动荡时期，网络安全是企业在熊市中笑到最后的“核心生存力”。
对于需要在网络安全预算上采取战术性削减的企业，以下介绍几种方法，可以以最少的投入取得显著效果，用最少的资源最大限度地降低风险。
1. 采用基于风险的安全策略，优先保护关键资产
企业的资产、数据业务价值以及所面临的安全威胁各异，为提高防御效率，安全团队需要进行全面的资产盘点和风险评估，以确定最关键的资产及其潜在威胁。将优先保护关键资产作为基于风险的安全管理策略的一部分，可以显著提高资源分配效率。
通常来说，安全团队应专注于保护对核心业务运营至关重要的敏感客户数据、知识产权和系统。鉴于预算限制，企业领导者必须最终确定他们愿意接受哪些风险，不要将“降本增效”变成“降本增效”甚至“降本翻车”。
2. 加强安全意识培训，打造人力防火墙
如今，人为错误（包括疏忽和故意）仍然是数据泄露的主要原因之一，而安全意识培训一直是网络安全投资中产出最高的一项。
通过定期培训计划加强员工的网络安全意识，当企业的技术和人力资源有限时，训练有素的员工队伍也可以充当强大的“人力防火墙”。安全意识培训除了教育员工有关网络钓鱼诈骗、社会工程策略和密码卫生知识外，还应包括定期（至少每季度）的灾难恢复和网络战培训。
3. 投资安全自动化
网络安全的“降本增效”并非是在降低人力成本，而是在减少技术债务和运营成本，增加的不是工作压力，而是智力效率和业务弹性。自动化网络安全工具可以简化流程并减少对人工干预的需求，从而减轻安全团队在事件检测、分析、响应和恢复等关键任务上的重复性低级工作负担。
自动威胁检测、事件响应和补丁管理可以显著提高企业快速检测和缓解威胁的能力，即使在预算有限的情况下也是如此。
4. 外包安全服务
考虑将某些网络安全功能外包给专业的第三方供应商。托管安全服务提供商（MSSP）可以提供经济高效的选项，如持续监控、威胁检测和事件响应。
对于内部缺乏网络安全专业技能和资源的小型公司而言，托管安全服务尤为有价值。通过与MSSP合作，企业可以获得专业服务，而无需承担完整团队的整体成本。
5. 定期更新和打补丁
根据微软的“2023年数字防御报告”，看似不起眼的网络安全“基本功”，即基础的安全卫生措施，仍然能够防御99%的网络攻击。这些基本的安全卫生和管理措施中，补丁管理是其中最为重要的一项。
过时的系统和未打补丁的软件是网络犯罪分子的主要目标。通过定期更新系统并修补软件以消除已知漏洞，安全团队可以防止许多常见的攻击。
6. 打造战略情报网络
威胁情报是网络安全的核心能力和动力。企业需要积极与同行企业、行业信息共享组织、专业智库和政府机构合作，以低成本获取威胁情报和最佳安全实践。
通过与同行、行业机构、专业智库和政府机构建立值得信赖的战略情报合作伙伴关系网络，企业安全主管可以随时了解与企业密切相关的新威胁和创新安全技术，并在人才培养、技术选型、风险管理方法和内部价值沟通方面获得强大助力。
7. 集中化安全管理
将多个安全工具和流程整合到一个统一的管理平台中可以高效处理网络安全事务。通过集中化的安全管理系统，企业可以统一监控和管理安全策略，减少重复工作，简化安全运维，改进风险管理，从而降低运营成本，提高整体安全防护的能力和企业业务弹性。
