5種方式幫CISO改善安全風險的內部協作

隨著運營和安全風險在企業中的融合，首席信息安全官（CISO）的角色正在不斷發展和擴展。今天的CISO比以往任何時候都更接近執行職能部門，並負責教育企業安全管理人員。

打開今日頭條，查看更多精彩圖片

根據RSA 最近發表的一份白皮書，82％的首席信息安全官認為他們的執行領導層參與了安全團隊保護網路和數據的努力。隨著安全風險越來越多地與業務風險交織在一起，執行董事會開始關注數據安全的重要性。

如何在安全性和C-Suite之間建立雙向通道？

雖然高級管理人員已經越來越意識到安全功能的重要性，但最近的研究表明，安全性正在導致技術部門和董事會之間複雜的文化障礙。據RSA白皮書顯示，70％的首席信息安全官報告說，管理安全和風險領導者之間的關係可能很困難。這種困難歸因於缺乏共享技術，語言，指標和目標。

為了在企業風險管理框架上進行有效協作，首席信息安全官必須建立一個共同的術語。雖然CISO迅速擴大對許多安全領導者來說是令人不安的，但解決溝通障礙是降低安全風險的關鍵。

不要高估網路安全準備

根據IBM商業價值研究院的一項名為「 保護C-Suite 」的研究，94％的首席執行官認為他們的組織可能會在未來兩年內遇到安全事件。雖然企業領導者的意識越來越強，但近一半的受訪高管對企業安全態勢過於自信。雖然這些高管中有65％對其已經建立起來的安全響應計劃非常有信心，但只有17％的企業符合明確定義和實施的網路安全功能的研究標準。

在準備最充分的企業中，執行職能部門通過跨職能協作，授權的CISO和明確的外部協作工作，在安全風險緩解方面發揮積極作用。首席高管的觀念與現實之間的巨大差距凸顯了首席信息安全官與企業領導層之間跨職能合作的重要性。由於近一半的高管表現出過度自信，因此明顯需要提高董事會的安全風險意識。

協同解決安全風險的5個步驟

雖然首席信息安全官的角色比以往任何時候都更加重要，但許多企業仍有很大的空間來改善安全與領導之間的一致性。不幸的是，在安全事件發生之前，主要由CISO來緩解緊張局勢並增進相互理解以建立有效的跨職能合作。讓我們來看看安全領導者可以採取的五個步驟，以便與高層管理人員更有效地合作。

1.早先合作

業務和風險之間的主動協作可以增強網路準備。47％的首席信息安全官認為，在流程早期將業務風險領導者暴露給IT計劃可以幫助團隊更準確地評估技術計劃的業務風險。

美聯儲CISO Devon Bryan告訴管理信息系統培訓學院（MISTI），今天的安全領導者需要立即「優先考慮與業務部門的合作關係」。「CISO需要合作以確保滿足客戶需求和期望，並支持市場推廣策略，」他說。

董事會中的高效協作要求安全領導者積極建立關係，尋求對話，並確保業務負責人徹底了解安全目標和策略。

2.創建共享定義

雖然今天的首席信息安全官精通安全實踐的語言，但許多人缺乏對商業風險評估的正式知識。同樣，首席風險官和其他高管都精通商業風險語言，如影響和可能性，但缺乏對網路複雜技術方面的洞察力。

使用國家標準與技術研究院（NIST）和國際標準化組織（ISO）的定義創建共享分類是在管理企業安全風險時明確定義安全和業務領導者目標和優先順序的良好開端。

3.制定統一指標

藉助共享語言和對安全性在企業風險框架中的作用的理解，CISO應與執行功能部門協同工作，以開發一套用於溝通企業風險和準備的關鍵指標。除了針對網路威脅的明確措施之外，統一指標還應涉及業務部門積極保護企業和員工意識的努力。

在MISTI文章中，Duke Health CISO Chuck Kesler建議企業制定兩到三個關於安全和意識的共享年度績效目標。他說，記錄性能目標「保證了每個人的安全，並自然地創造了檢查進度的機會。」

4.正式分享技能

在事件發生之前，IT和風險管理之間共享語言和知識轉移的正式舉措至關重要。企業可以受益於高管參與第三方顧問領導的演習，聯合能力工作組的發展以及正式的同伴指導工作。

5.依靠技術和數據

安全風險管理本質上是一種實時操作。有效的跨職能協作和響應需要共享工具，這些工具可能由通用分析核心統一。為了開發統一的風險管理模型和框架，安全領導者應首先實施全面的安全事件和事件管理（SIEM）解決方案，以提高網路可見性。

利用專家顧問的幫助，首席信息安全官應努力實施必要的實時報告解決方案，將情報分為內部和外部異常，以及響應協調。業務和技術領導者之間的共享技術可以促進對企業安全狀況和響應能力的共同理解。

一切都在尋找共同點

雖然今天近一半的首席信息安全官仍在追趕適應他們在企業中越來越重要的角色，但網路安全和業務風險的融合仍在不斷提升。雖然今天的執行領導者比以往任何時候都更注重風險，但CISO必須圍繞有效的跨職能協作和溝通應對新的挑戰。

在大多數網路準備企業中，執行職能部門應該積极參与定期討論網路安全風險和準備工作。有效的協作需要共同的理解，而今天的CISO可以開發跨越技術和業務部門的通用語言、指標和技術。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！