在當今數字化浪潮中，投資於實質性的自動化建設，以實現敏捷且具有戰略意義的業務運營，是企業保持競爭力、實現持續增長的核心要素。
在這場歸檔主題演講中，Surescripts 業務技術解決方案與運營副總裁 Rachel Lockett，與 Automox 首席資訊安全官兼產品高級副總裁 Jason Kikta，共同探討了企業如何藉助自動化挖掘價值、整合資源以應對各類挑戰。
本環節是 InformationWeek 於 2025 年 2 月 6 日舉辦的線上直播活動"2025 年 CIO IT 自動化指南：驅動創新與效率"的組成部分。以下為影片文字整理內容，已作少量編輯以提升表達清晰度。
Rachel Lockett：告警疲勞以各種形式呈現，其後果與影響包括：告警被忽視、響應速度遲緩，以及在緊急情況發生時無法及時作出反應，甚至還會導致從業人員的職業倦怠。自我進入醫療行業以來，越來越頻繁地聽到關於醫護人員職業倦怠的討論。
已有新聞報道指出，告警疲勞導致關鍵資訊被忽略或遺漏，最終釀成患者死亡的悲劇。對應到科技領域，您在實際工作中觀察到哪些最為嚴重的後果？由於告警疲勞和自動化缺失，曾經造成過哪些代價慘重的失誤？
Jason Kikta：當人們思考 IT 與安全交叉領域的問題時，我認為最直觀、最易於理解的例子，就是軟體漏洞數量的持續攀升。這正是去年我們向聽眾展示的數據圖表所呈現的內容——安全漏洞數量正以令人警覺的速度增長，已遠超人工處理能力。
當時我們預測，到 2025 年每年新增 CVE 數量將達到 3.2 萬條，形勢將相當嚴峻。事實上，2023 年的數量已達 2.8 萬條，而 2024 年直接飆升至 4 萬條，完全突破了預測曲線。
當然，這其中也有一定的複雜性。從網路安全的角度來看，這未必全是壞事——部分原因在於，廠商以及安全研究人員發現漏洞的能力有所提升，廠商在漏洞披露方面也更加規範。因此，這一數字的增長本身具有一定的積極意義。
然而，這並不能改變現實困境。去年底，我與一家公司交流時了解到，他們的安全團隊正在嘗試人工逐條閱讀各廠商發布的每一條 CVE，並手動與自身技術環境進行比對，判斷是否受影響，再逐一決定應對策略——是否修補、修補時間窗口等。這讓我大為震驚。我問那位負責人：你們怎麼跟得上？他苦笑著回答說：跟得很差。"很差"，這就是答案。
Rachel Lockett：確實，這不僅工作量巨大，人力成本極高，而且面對如此龐大的數量，響應必然嚴重滯後。
Jason Kikta：另一個典型案例是美國國家漏洞資料庫（NVD）本身也陷入了跟不上節奏的困境。作為全球權威漏洞資料庫的維護機構，他們也深陷處理積壓的困局。截至去年夏天，他們去年 11 月的最新公告顯示：通過大量引入外部承包商支持並投入了大量資金，目前已能夠跟上新增漏洞的錄入工作，但歷史積壓問題仍未解決，且暫時沒有有效的清理方案。
這些問題不僅沒有好轉，反而在需求端持續惡化。因此，必須從供給側入手加以解決——需要處理的漏洞數量只會不斷增加，依靠人工應對的方式終將走向崩潰。唯有通過更完善的自動化手段，並從整體上重新審視這些流程，才能真正破局。
Rachel Lockett：您提到的正是我接下來想談的問題。我一貫從人的影響角度來思考這些問題。一個常見的應對方式就是您剛才描述的——不斷堆人，持續引入更多承包商。
在團隊成員之間輪換職責，可以在一定程度上緩解告警疲勞的影響，但這並不是可持續的長期解決方案。與此同時，另一個行業趨勢正在讓這一方式愈發難以為繼——那就是技術人才的持續短缺。這是我們去年夏天就已探討過的話題。
那麼，到目前為止情況發生了哪些變化？技術人才短缺的問題是在好轉、惡化，還是維持原狀？現狀究竟如何？
歡迎立即點播"2025 年 CIO IT 自動化指南：驅動創新與效率"線上直播歸檔回放。
Q&A
Q1：告警疲勞在網路安全領域會造成哪些嚴重後果？
A：告警疲勞會導致安全團隊忽視重要告警、響應速度下降，甚至在真正的威脅發生時無法及時處置。以軟體漏洞管理為例，2024 年全年新增 CVE 數量高達 4 萬條，遠超人工處理能力。有企業仍依賴人工逐條比對漏洞與自身技術環境，結果是"跟得很差"，極易造成安全漏洞被長期忽視，帶來嚴重的安全風險。
Q2：國家漏洞資料庫（NVD）目前面臨哪些挑戰？
A：美國國家漏洞資料庫（NVD）作為全球權威漏洞資訊維護機構，也面臨嚴重的處理積壓問題。儘管在 2024 年引入了大量外部承包商並投入額外資金，目前已能跟上新增漏洞的錄入速度，但歷史積壓問題依然存在，且尚無有效的清理方案，整體形勢仍不容樂觀。
Q3：為什麼單純增加人手無法解決告警疲勞和漏洞管理問題？
A：在團隊成員之間輪換職責或不斷引入新承包商，只能短期緩解告警疲勞，並非可持續的長期方案。加之全球技術人才持續短缺，依賴人力擴張的方式面臨越來越高的成本與招聘壁壘。隨著需要處理的漏洞和告警數量持續增長，只有引入更完善的自動化流程，才能從根本上解決問題。
