Tình hình Kiểm thử xâm nhập vào năm 2025: Tại sao Xác thực Bảo mật Được驱 động bởi Trí tuệ Nhân tạo là một Yếu tố Chiến lược Bắt buộc

Báo cáo 2025 State of Pentesting Survey Report của Pentera vẽ ra một bức tranh ấn tượng về một cảnh quan an ninh mạng đang bị tấn công và thay đổi nhanh chóng. Đây không chỉ là một câu chuyện về việc bảo vệ biên giới kỹ thuật số; nó là một bản thiết kế về cách các doanh nghiệp đang chuyển đổi cách tiếp cận của họ đối với bảo mật, được thúc đẩy bởi tự động hóa, các công cụ dựa trên trí tuệ nhân tạo và áp lực không ngừng của các mối đe dọa thực tế.

Các vụ vi phạm vẫn tiếp tục xảy ra dù có nhiều lớp bảo mật hơn

Mặc dù triển khai ngày càng nhiều lớp bảo mật phức tạp, 67% doanh nghiệp tại Mỹ đã báo cáo về việc bị vi phạm trong 24 tháng qua. Những sự cố này không phải là nhỏ – 76% báo cáo về tác động trực tiếp đến tính bảo mật, tính toàn vẹn hoặc tính khả dụng của dữ liệu, và 36% đã trải qua thời gian ngừng hoạt động không dự kiến, trong khi 28% phải đối mặt với tổn thất tài chính.

Sự tương quan là rõ ràng: khi độ phức tạp của lớp bảo mật tăng lên, số lượng cảnh báo và các vụ vi phạm cũng tăng theo. Các doanh nghiệp sử dụng hơn 100 công cụ bảo mật đã trải qua trung bình 3.074 cảnh báo mỗi tuần, trong khi những doanh nghiệp sử dụng từ 76 đến 100 công cụ phải đối mặt với 2.048 cảnh báo mỗi tuần.

Tuy nhiên, lượng dữ liệu khổng lồ này thường khiến các đội bảo mật bị choáng ngợp, làm chậm thời gian phản hồi và cho phép các mối đe dọa thực sự lọt qua khe hở.

Bảo hiểm An ninh mạng đang định hình việc áp dụng công nghệ

Các công ty bảo hiểm an ninh mạng đã trở thành những người thúc đẩy sáng tạo trong lĩnh vực an ninh mạng. Một tỷ lệ ấn tượng là 59% doanh nghiệp tại Mỹ đã triển khai các công cụ bảo mật mới cụ thể theo yêu cầu của nhà bảo hiểm, và 93% các CISO báo cáo rằng các nhà bảo hiểm đã ảnh hưởng đến tư thế bảo mật của họ. Trong nhiều trường hợp, những khuyến nghị này đã vượt ra ngoài việc tuân thủ – chúng đã định hình chiến lược công nghệ.

Sự trỗi dậy của Kiểm thử xâm nhập dựa trên Phần mềm

Kiểm thử xâm nhập thủ công không còn là mặc định. Hơn 55% tổ chức hiện đang dựa vào kiểm thử xâm nhập dựa trên phần mềm trong các chương trình nội bộ, với 49% khác sử dụng nhà cung cấp bên thứ ba. Ngược lại, chỉ 17% vẫn dựa hoàn toàn vào kiểm thử thủ công nội bộ.

Sự chuyển đổi này sang kiểm thử đối thủ tự động phản ánh một xu hướng rộng lớn hơn: nhu cầu về xác thực có thể mở rộng, lặp lại và theo thời gian thực trong một kỷ nguyên các mối đe dọa luôn thay đổi. Các nền tảng tự động này mô phỏng các cuộc tấn công từ phần mềm độc hại không có tệp đến việc tăng đặc quyền, cho phép các doanh nghiệp đánh giá khả năng chống chịu của họ một cách liên tục và không bị gián đoạn.

Ngân sách An ninh mạng đang tăng – Nhanh

An ninh mạng không trở nên rẻ hơn, nhưng các tổ chức đang ưu tiên nó bất kể. Ngân sách kiểm thử xâm nhập trung bình hàng năm là 187.000 đô la, chiếm 10,5% tổng chi tiêu bảo mật CNTT. Các doanh nghiệp lớn (10.000+ nhân viên) chi tiêu thậm chí nhiều hơn – trung bình 216.000 đô la mỗi năm.

Năm 2025, 50% doanh nghiệp dự định tăng ngân sách kiểm thử xâm nhập, và 47,5% dự kiến sẽ tăng tổng chi tiêu bảo mật. Chỉ 10% dự kiến giảm đầu tư. Những con số này nhấn mạnh sự trỗi dậy của bảo mật từ một nhu cầu hoạt động đến một ưu tiên trong phòng họp.

Kiểm thử An ninh vẫn đang đuổi theo

Đây là một sự mất kết nối đáng chú ý: 96% doanh nghiệp báo cáo về việc thay đổi cơ sở hạ tầng ít nhất mỗi quý, nhưng chỉ 30% thực hiện kiểm thử xâm nhập với cùng tần suất. Kết quả là các điểm yếu mới lọt qua các thay đổi chưa được kiểm tra, mở rộng bề mặt tấn công với mỗi bản đẩy phần mềm hoặc cập nhật cấu hình.

Chỉ 13% doanh nghiệp lớn với hơn 10.000 nhân viên thực hiện kiểm thử xâm nhập hàng quý. Trong khi đó, gần một nửa vẫn chỉ kiểm thử một lần mỗi năm – một độ trễ nguy hiểm trong môi trường đe dọa động hiện nay.

Cân bằng Rủi roSharper hơn bao giờ hết

Khuyến khích, các nhà lãnh đạo bảo mật đang tập trung kiểm thử vào nơi các vụ vi phạm thực sự xảy ra. Gần 57% ưu tiên các tài sản hướng web, tiếp theo là máy chủ nội bộ, API, cơ sở hạ tầng đám mây và thiết bị IoT. Sự sắp xếp này phản ánh một nhận thức ngày càng tăng rằng các kẻ tấn công không phân biệt – chúng khai thác mọi điểm yếu có sẵn trên toàn bộ bề mặt tấn công.

API, đặc biệt, đã nổi lên như một mục tiêu ưu tiên cao, cả cho các kẻ tấn công và những người bảo vệ. Những giao diện này ngày càng thiết yếu cho hoạt động kinh doanh nhưng thường thiếu khả năng hiển thị và giám sát tiêu chuẩn, khiến chúng dễ bị khai thác.

Hoạt động hóa Kết quả Kiểm thử xâm nhập

Báo cáo kiểm thử xâm nhập không còn bị xếp xó. Thay vào đó, 62% doanh nghiệp ngay lập tức chuyển kết quả đến bộ phận CNTT để ưu tiên khắc phục, trong khi 47% chia sẻ kết quả với ban quản lý cấp cao và 21% báo cáo trực tiếp lên hội đồng quản trị hoặc cơ quan quản lý.

Sự chuyển đổi này hướng tới hành động phản ánh một sự tích hợp sâu hơn của kiểm thử xâm nhập vào quản lý rủi ro chiến lược – không chỉ kiểm tra tuân thủ. Xác thực bảo mật đang trở thành một phần của cuộc trò chuyện kinh doanh.

Điều gì đang cản trở Tiến bộ Nhanh hơn?

Mặc dù các xu hướng là tích cực, vẫn còn những yếu tố cản trở chính. Hai rào cản hàng đầu đối với việc kiểm thử xâm nhập thường xuyên hơn là hạn chế ngân sách (44%) và thiếu các chuyên gia kiểm thử xâm nhập có sẵn (48%) – yếu tố sau phản ánh sự thiếu hụt 4 triệu chuyên gia an ninh mạng toàn cầu, theo Diễn đàn Kinh tế Thế giới.

Rủi ro hoạt động, như lo ngại về thời gian ngừng hoạt động trong quá trình kiểm thử, vẫn là một mối quan tâm đối với 30% CISO.

Từ nghĩa vụ Tuân thủ đến Vũ khí Chiến lược

Kiểm thử xâm nhập đã tiến hóa vượt ra ngoài nguồn gốc của nó như một yêu cầu quy định. Ngày nay, nó hỗ trợ các sáng kiến chiến lược, bao gồm thẩm định giá M&A và ra quyết định cấp điều hành. Gần một-third số người được hỏi hiện đề cập đến “sắc lệnh điều hành” và “chuẩn bị cho M&A” như những lý do chính để thực hiện kiểm thử xâm nhập.

Đây là một sự chuyển đổi cơ bản: từ một kiểm tra phản ứng đến một biện pháp liên tục và chủ động về khả năng chống chịu mạng.

Tư tưởng Cuối cùng

Báo cáo 2025 State of Pentesting Survey Report không chỉ là một bản cập nhật trạng thái – nó là một lời gọi thức. Khi bề mặt tấn công tăng lên và các tác nhân đe dọa trở nên tinh vi hơn, các tổ chức không thể tiếp tục áp dụng các phương pháp kiểm thử bảo mật chậm, thủ công hoặc bị cô lập. Kiểm thử xâm nhập dựa trên trí tuệ nhân tạo, phần mềm đang bước vào để lấp đầy khoảng trống này với tốc độ, quy mô và thông tin.

Những tổ chức thành công trong kỷ nguyên mới này sẽ là những tổ chức coi xác thực bảo mật không chỉ là một nhu cầu kỹ thuật, mà là một yêu cầu chiến lược.

Để có thêm thông tin, tải xuống báo cáo đầy đủ 2025 State of Pentesting Survey Report từ Pentera.