一、网络安全专业从业者将受到各类法律规定困扰

作为持续争议和辩论的源头，《加利福尼亚消费者隐私法案》(CCPA)于2019年1月11日最终定稿。

该法案旨在保护加利福尼亚人个人数据，防止个人数据被肆无忌惮的网络犯罪分子误用或未经许可的使用。法案规定每项故意违法行为最高可处以7500美元的罚款，每起非故意违规行为可处以2500美元的罚款。

该法对处理或管理加利福尼亚居民个人数据的组织具有强制性，无论该居民是否位于加利福尼亚州。类似于欧盟GDPR，加利福利亚居民被赋予了一系列权利来控制其个人数据及其最终使用。

问题在于，如果每个美国州都制定自己的州隐私法，则仅在美国领土上就必须遵守50多个重叠的隐私法，有时甚至是相互矛盾的法规，否则将面临严厉的经济处罚甚至刑事诉讼。

区域、国家和跨国法规的迅速发展使情况更加恶化，2020年可能成为网络安全合法性受到影响并开始迅速崩溃的一年。鉴于一方面司法系统更新缓慢，另一方面网络安全技能不足且预算不足，网络安全专业人员在工作中可能会开始无视这些一系列复杂的法案。

二、第三方数据泄露将主导威胁格局

赛门铁克表示，2019年供应链攻击上升了78%。一般来说，优秀的企业通常以较高的专业水平而著称，他们会集中所有可用资源以在特定市场中实现卓越，从而超越竞争对手。

因此，他们将大多数辅助业务流程外包给了熟练的供应商和经验丰富的第三方，从而降低了成本，提高了质量并加快了项目交付速度。

问题是，供应商存在安全隐患，他们在竞争激烈的全球市场中运作，不会将太多精力放在网络安全方面，因此很少能为客户提供可观的网络安全和数据保护水平。

IBM表示，2019年识别供应链攻击事件的平均时间高达206天。更糟的是，由于攻击的复杂性和受害人缺乏相应技能及意识，因此很少能检测到此类攻击，最终这类的攻击往往由安全研究人员及相关媒体披露并报道。

网络犯罪分子非常了解这种攻击的有效性，并将继续有目的地锁定这一最薄弱的环节，以获取你的数据，商业秘密和知识产权。

三、外部攻击面将继续扩大

根据IDG的CSO Online，2019年有61%的组织经历了IoT安全事件。物联网和连接设备的全球扩散，公共云，PaaS和IaaS的使用极大地促进了相关业务发展并实现了公司业绩快速增长。但随之而来的 是Iot等设备扩大了网络犯罪分子攻击面的问题，而且会被掩盖在高业绩之下无人关注。

简单地说;外部攻击面由攻击者可以从Internet访问并属于你组织的所有数字资产(也称为IT资产)组成。

传统的数字资产(例如网络或Web服务器)通常都有很多防御措施，但是RESTful API和Web服务，混合云应用程序以及托管在外部平台上的关键业务数据(新兴的数字资产的几个例子)，它们的攻击面通常无人关注

由于你无法保护自己所不知道的东西，因此这些数字资产中的绝大部分都没有以任何方式正确维护，监视或保护。

流氓app，诈骗网站，钓鱼网站和抢注网站使情况更加恶化，可通过适当实施的域安全监控来检测到这种情况，这种监控手段提供了一种防御方案，将会被越来越关注

总而言之，随着技术升级，IT资源新增了许多未知因素(无论是内部还是外部)，使得入侵将变得更加容易。

四、云配置错误将会造成严重的数据泄漏事件

福布斯表示，到2020年，将有83%的企业工作负载转移到云中。不幸的是，用于数据存储和处理的云的稳定增长大大超出了负责云基础架构的IT人员所需的安全技能和足够的培训。

Gartner报告说，大约95%的云安全故障是由客户而不是公共云基础架构的供应商造成的。

不出所料，2019年重大数据泄露的很大一部分源于配置不当的云存储，暴露了大型科技公司和金融机构的“皇冠上的宝石”。

在2019年7月，世界媒体报道了Capital One的数据泄露事件，这可能是美国金融领域最大的数据泄露事件，影响了大约1亿美国人和600万加拿大人。。

据报道，攻击者利用一个配置错误的AWS S3存储桶来下载无人监管的极其敏感的数据。尽管Capital One估计只有1.5亿美元的直接损失，但美国联邦调查局(FBI)后来披露，有多达30个其他组织也可能因为同样的AWS配置不当而受到攻击。

可以预见的是，在2020年，云安全事件将始终是数据泄露根源的重中之重。

五、密码重用和网络钓鱼攻击将激增

ImmuniWeb表示， 仅仅是《财富》500强中世界上最大的公司，你可能在2019年就能在黑暗网络中搜出2100多万份有效凭证。

网络罪犯更喜欢快速、无风险的攻击，而不是耗时的APT攻击、代价高昂的0days攻击，或者是对SAP复杂漏洞的连续利用。

即使许多组织最终设法实现了可使用的身份和访问管理(IAM)系统，并使用了强大的密码策略、MFA和对异常情况的持续监控，但是很少有外部系统包括在受保护的范围内。

这些灰色地带系统的范围从SaaS CRM和ERP到弹性公共云平台。即使攻击者在暗网中发现或购买的密码是无效的，它们也为社会工程学攻击、网络钓鱼和智能暴力破解攻击提供了大量的帮助。

从技术角度看，这些攻击乍一看相当原始，但它们常常显示出惊人的效率，并无情地破坏和削弱了组织的网络安全防御能力。