不确定时代的安全策略：女性CISO在RSA大会上的深度对话

AI驱动的网络威胁和动荡的市场环境给信息安全领导者们带来了沉重压力。在旧金山举行的2025年RSA大会前夕，Synack与联合主办方纳斯达克举办了一场小组讨论，探讨女性安全高管如何调整战略应对当前挑战。

亚马逊企业服务CISO Melissa Bishop表示：“网络安全领域的不确定性是我们的日常。即使像亚马逊这样拥有严格运营规划流程的公司，也很难预测明年应该在哪里投资。”

预算不确定性的现实挑战

联合航空副总裁兼CISO Deneen DeFiore谈到关税政策反复变化的影响时表示：“新闻上某件事发生了，然后又没发生。在保持战略专注的同时应对日常业务变化和识别新风险确实很困难。”

医疗设备提供商百特国际全球CISO Nidhi Luthra和金融科技公司Jack Henry业务信息安全官Rebekah Wilke也参与了讨论，会议由前《纽约时报》记者兼畅销书作者Nicole Perlroth主持。

Luthra谈到经济不确定性时表示：“我们需要用更少的资源做更多的事情。明天我下飞机后就要花一整天处理财务问题，重新规划今年剩下的时间……我们确实感受到了影响。”

AI威胁的双刃剑

Synack在RSA大会期间举办的第四届“网络安全女性”早餐会吸引了大量参与者。讨论主题“领先CISO如何在市场与AI动荡中保障组织安全”引发了从内部威胁到企业安全文化建设的广泛讨论。

Perlroth很快将讨论引向生成式AI对网络安全行业的深远影响。无论是对手滥用AI技术制作深度伪造，还是员工急于使用未经充分审查的AI工具，CISO们都在努力平衡AI技术的承诺与风险。

Wilke表示：“AI发展如此之快，我们怎么能指望人类跟上它、理解它并管理它？这就是AI房间里的大象：人类太骄傲而不愿承认我们不知道，我们对AI的能力感到不确定。”

供应链威胁与应对策略

Perlroth指出：“当我们谈论AI威胁时，往往会直接想到僵尸网络或恶意代理场景。但更迫切的威胁可能是供应链威胁——下一个SolarWinds事件可能发生在AI领域。”

五年前，与俄罗斯有关的SolarWinds软件漏洞入侵了100多家公司和十几个政府机构，动摇了网络安全行业的基础。强有力的合同语言、责任分担和仔细的风险分析可以帮助减轻第三方风险和供应链漏洞的影响，但没有万能解决方案。

Perlroth强调：“如果网络安全纯粹是技术问题，我们20年前就可以用防火墙和EDR等工具解决它。但我们没有，因为它不纯粹是技术问题：还涉及员工意识、教育、领导层预算分配等等。”

AI防御的潜力

小组成员认为新兴技术有助于应对一些更紧迫的挑战。Bishop认为，AI工具可能是将风险从最终用户那里自动转移的“圣杯”。

Bishop举例说明：“这就是更多自动化和AI可能给我们带来的能力——当你点击某个链接时，基于我们在威胁情报、网络流量、电子邮件流量以及类似威胁方面的所有学习数据，系统将隔离你。AI代理可以自动隔离你，直到我们能够验证你的账户或身份状态。我认为我们很快就会看到这种情况。”

对未来的希望

尽管在填补CISO职位渠道方面面临挑战，小组成员对网络安全的未来仍充满希望。棘手的法律问题影响了人们对担任安全最高职位的兴趣——在最近的案例中，CISO因数据泄露事件被追究个人责任。考虑到CISO工作的压力，关于工作/生活平衡的问题也一直存在。

Wilke分享道：“如果我们要吸引和留住女性从业者，必须关注基础事项和生活平衡。屏幕不是我睡前最后接触的东西，这对我来说是一个巨大的改变——改变了我的内在思维过程。”

当一位听众询问如何启动网络安全职业生涯时，Wilke讲述了自己从军事情报到国土安全部事件响应的经历：“关键是理解何时升级、如何升级问题，并培养那种判断何时发出警报的肌肉记忆。这对于理解流程、攻击链和整个生态系统至关重要。”

联合航空的DeFiore强调了自我倡导的重要性，呼吁下一代女性网络领导者走出舒适区并承担风险：“是的，你会犯错，不会完美。可能会得到房间里其他人奇怪的目光。但如果你不把自己推出去，你就只能停留在原地。”

她还敦促进入该领域的年轻女性学会塑造自己的叙事：“首先，培养深厚的专业知识；其次，知道如何讲述你的故事。你可能是技术领域最好的专家，但如果你不告诉人们价值所在并阐明如何支持你，你就无法前进。”

Luthra在总结讨论时指出，房间里的每个人都共享一个共同目标：让世界更安全。无论是保护联合航空的关键航空基础设施和旅行，安全地帮助当地信用合作社支持小企业，保护数万名亚马逊员工的个人信息，还是在百特提供拯救生命的医疗设备，“我在这条路上并不孤单。我们有更高的目标感，有这么多人一起努力解决这个问题。这给了我希望。”