2023 年，世界级首席信息安全官如何赢得更多预算与董事会信任

本文首发于 SC Magazine，经更新后在此转载。


首席信息安全官（CISO）正处于一个日益艰难的境地：既要保护更多的资产、交付更多的代码、缩小不断扩大的攻击面，又要面对日益紧缩的财务预算。网络安全被视为成本中心是一个无法回避的事实。尽管企业的安全计划是防止威胁行为者将其推向明日头条灾难的关键防线，但安全领导者必须付出更多努力，用高管层能够理解的语言来推销并证明该部门的整体商业价值。

世界级的首席信息安全官正迎难而上，领导着全面的安全计划，以增强客户信任和品牌声誉，并利用一切可用工具创造不可磨灭的价值。这始于对常见安全隐患采取战略性的预防措施，并摒弃那种认为没有足够时间、资源或人员来维持卓越安全性的心态。

改变董事会的讨论方式。

在当前的经济环境下，很少有公司和部门能逃过对其支出、招聘和业务目标战略影响的审查。虽然现代企业需要广泛的网络安全计划似乎是不言而喻的，但它代表了组织的一项重大成本，且难以直接证明其投资回报率。

高管层和董事会利益相关者需要清楚地了解网络安全计划的预期成果，并以电子表格数字之外的易懂方式呈现。他们的技术知识和理解水平各不相同，因此首席信息安全官必须努力以通俗易懂的信息来陈述自己的观点。解释计划的规模、需要保护的对象以及为了提供一流的范例需要赋能的人员。攻击正在增加，但预算却跟不上，而进行这场“正义之战”始于一场证明其价值的口头宣传。

长期以来人们一直认为，无论行业如何，每家公司都在迅速成为一家科技公司。随着“数字优先”成为大多数组织的常态，这意味着存在一个巨大的攻击面，需要当时所能提供的最佳保护。安全领导者身兼数职，但有一个角色往往被忽视（直到为时已晚），那就是他们本质上是客户信任的守护者。作为一种价值主张，这一点怎么强调都不为过，它与销售和营销目标同样重要。

证明预防性安全方法的价值。

目前的网络安全统计数据令人毛骨悚然，但在争取更多预算时，利用恐惧、不确定性和怀疑（FUD）进行恐吓通常是徒劳的。公司领导团队中很少有人会否认网络安全的重要性，但如果能提出一种利用现有资源实现更好成果的进取型战略，他们会更容易接受预算增加。

根据 Neustar 国际安全委员会的最新研究，仅有 50% 的公司认为他们有足够的预算来解决已知的网络安全问题。随着全球网络攻击在 2021 年至 2022 年间增加了 38%，对于普通首席信息安全官来说，未来的道路可能会更加艰难。然而，真正世界级的安全领导者有能力超越这些痛点，在逆境中实现创新。

在许多情况下，预防比治疗更容易、更直接，网络安全也不例外。全面的安全计划必须远远超出被动措施，而漏洞管理是许多首席信息安全官最关心的三大问题之一，因此开发人员成为该行动不可或缺的一部分也就顺理成章了。他们需要实践教育来直接应对常见的安全漏洞，帮助他们从源头上消除这些问题，并确保它们从一开始就不会进入生产环境。我们现在已经到了不能再为低质量、不安全的代码找借口的阶段，提升开发人员的技能是目前解决代码级漏洞最经济、最有效的补救措施。

首席信息安全官必须努力保留现有预算，详细说明基于角色的安全技能提升（尤其是针对开发人员）的好处，这比在臃肿的安全技术栈中增加下一个“灵丹妙药”更容易取得成功。

安全应成为品牌的基本要素。

大多数首席信息安全官担任该职位并非出于对营销的热情，但至少在向掌握财政大权的人陈述观点时，这是一个值得努力的领域。

网络安全计划对客户信任和品牌忠诚度的影响怎么强调都不为过，大规模的数据泄露可能导致灾难性的客户流失。相反，通过将严格的安全实践与核心品牌价值保持一致，您可以传达一个明确的信息：数据隐私和保护不仅是首要考虑因素，更是客户可以信赖的基石。

现代首席信息安全官必须花时间强调安全战略和政策在维持积极的客户情绪和信任方面的竞争优势，这一点至关重要；仅靠被动安全无法产生同样的影响，而一种专注于利用一切可用资源保护特权资产的平衡方法，可以成为最终的差异化优势。

现在已没有借口的空间，但首席信息安全官在寻求充足资金以实施真正变革性的安全战略时，可以强调许多令人信服的理由。