企業(yè)應(yīng)該關(guān)心這6個安全問題，建議收藏
數(shù)據(jù)信息泄露、威脅軟件進(jìn)行攻擊加劇了企業(yè)董事會對網(wǎng)絡(luò)系統(tǒng)安全的擔(dān)憂。安全主管表示，董事會越來越多地參與安全問題，對網(wǎng)絡(luò)問題有了更深入的了解，并提出了有關(guān)風(fēng)險暴露和風(fēng)險管理方法的更復(fù)雜問題。
很多人仍然將安全視為執(zhí)行工作的費(fèi)用，但越來越多的董事會成員將其作為工作的基礎(chǔ)。隨著我國許多中小企業(yè)發(fā)展加快數(shù)字轉(zhuǎn)換計劃，董事會想知道在員工越來越分散的環(huán)境下，安全問題如何支持變化措施以滿足經(jīng)濟(jì)業(yè)務(wù)市場需求。
麥當(dāng)勞首席信息官蒂莫西·揚(yáng)布拉德(Timothy Youngblood)表示:“董事會越來越意識到技術(shù)和安全問題?！彼f：“由于受到SEC的一定影響，董事會也期待具備一定的技術(shù)專長?！彼麄兪艿搅巳珖髽I(yè)史協(xié)會和其他機(jī)構(gòu)對網(wǎng)絡(luò)安全的很多指責(zé)，因此董事會現(xiàn)在向安全領(lǐng)導(dǎo)人提出的問題也發(fā)生了很大的變化。根據(jù)Youngblood等研究，下面列出了我國目前公司董事會關(guān)心的6個問題。
1.網(wǎng)絡(luò)責(zé)任
風(fēng)險管理公司VigiTrust的首席執(zhí)行官、新書《董事會中的在線大象》(The Online Elephant In The Board)的作者馬蒂厄·戈爾奇認(rèn)為，首席信息官應(yīng)該做好更好的準(zhǔn)備，回答董事會關(guān)于在線責(zé)任的問題。Gorge介紹說，“網(wǎng)絡(luò)社會責(zé)任”是指一個企業(yè)部門有能力證明擁有良好的網(wǎng)絡(luò)經(jīng)濟(jì)環(huán)境，如果沒有出現(xiàn)一些問題，可以通過跟蹤所有這些問題，移動到特定事件、人或群體。
首席信息官必須準(zhǔn)備好說明網(wǎng)絡(luò)問責(zé)制是什么，企業(yè)為什么需要關(guān)心，如何開始網(wǎng)絡(luò)責(zé)任旅行，以及包含什么。Gorge說：“是為了證明自己能應(yīng)對網(wǎng)絡(luò)攻擊，還是更好呢？”說。和誰有關(guān)，費(fèi)用多少，我們真的需要嗎？”“。
安全領(lǐng)導(dǎo)人在闡明應(yīng)對措施時，請注意理事會真正想聽到的是企業(yè)對整個生態(tài)系統(tǒng)的問責(zé)制。也就是說，安全我們不僅要能夠說明自己的部門，還必須能夠說明特許經(jīng)營商、子公司、業(yè)務(wù)合作伙伴、供應(yīng)商和其他第三方如何實(shí)施安全佳實(shí)踐。
這種生態(tài)系統(tǒng)可以是國際的，復(fù)雜的、經(jīng)常沖突的規(guī)定和標(biāo)準(zhǔn)來規(guī)范，這一切都要承擔(dān)一定的責(zé)任。Cio必須準(zhǔn)備好回答自己在做什么，或者計劃做什么來表明自己的責(zé)任?！澳墚嫵錾鷳B(tài)系統(tǒng)圖來展示嗎？可以使用顯示正在發(fā)生什么的控件來展示嗎？能否說明企業(yè)內(nèi)各相關(guān)人員的數(shù)據(jù)訪問權(quán)限已分類？”
2.傳染病及未來安全狀況
商業(yè)支付服務(wù)公司弗利特科的首席信息官詹姆斯？埃德加（JamesEdgar）表示，在疫情爆發(fā)后，人們轉(zhuǎn)向遠(yuǎn)程業(yè)務(wù)，董事會關(guān)于網(wǎng)絡(luò)安全的問題更加突出。
從IT和整個企業(yè)業(yè)務(wù)管理部門的角度分析來看，很多可以直接關(guān)注的焦點(diǎn)是轉(zhuǎn)向遠(yuǎn)程業(yè)務(wù)如何影響公司業(yè)務(wù)運(yùn)營方式。這些問題包括企業(yè)是否有能力將大部分員工遷移到遠(yuǎn)程工作模式，以及是否仍能支持業(yè)務(wù)。
Edgar表示，委員會收到的問題包括與業(yè)務(wù)連續(xù)性有關(guān)的問題，以及在病毒爆發(fā)時已實(shí)施的大型IT項目的影響?！拔覀兡茏龊弥匾氖聠?？能否保持當(dāng)前的安全和法規(guī)遵從性水平？我們的標(biāo)準(zhǔn)問題是什么，當(dāng)我們可以擺脫新冠肺炎疫情時，我們能達(dá)到通過這些國家標(biāo)準(zhǔn)嗎？”
隨著事態(tài)的穩(wěn)定，企業(yè)在后流行世界保持安全態(tài)勢的能力和為實(shí)現(xiàn)這一目標(biāo)將采取何種投資方式成為焦點(diǎn)。埃德加表示，對他來說，有效的策略之一，就是每季度向董事會報告安全領(lǐng)域的威脅和重要趨勢。他說：“我們定期提供恐嚇軟件、端點(diǎn)保護(hù)、網(wǎng)絡(luò)監(jiān)控和我們所做工作的新信息。在安全問題上，我們Fleetcor不是一個獨(dú)立的，而是需要放眼未來世界，天下主義兼?zhèn)?。`
3.安全策略
Youngblood表示，與幾年前相比，董事會對網(wǎng)絡(luò)安全的思考更具戰(zhàn)略性。很多董事將網(wǎng)絡(luò)信息安全管理視為一個自己的本職工作能力也是理所當(dāng)然的責(zé)任和忠誠義務(wù)。
Youngblood表示：“今天面臨的問題是如何處理第三方等不受控制的事情。在外包如此之多的今天，董事們希望聽到企業(yè)網(wǎng)絡(luò)安全投資是如何受到保護(hù)的。他們想知道企業(yè)得到了我們什么，以及學(xué)生是否有影響業(yè)務(wù)管理目標(biāo)的因素。
Youngbrue說，董事會喜歡聽到公司是否在威脅成為主要問題之前有控制來檢測威脅。他們想知道網(wǎng)絡(luò)信息安全管理是否與數(shù)字轉(zhuǎn)換鏈緊密相連，安全問題是否內(nèi)置于所有發(fā)展階段，而不是后通過添加。他表示，董事會需要注意的是，雖然企業(yè)尚未進(jìn)行，但他越來越想了解可能對網(wǎng)絡(luò)風(fēng)險產(chǎn)生不利影響的投資。
回答這些問題可能會很棘手，所以好讓CIO、CPO和其他相關(guān)人士在董事會會議上自由發(fā)言。他說，在與董事會討論企業(yè)戰(zhàn)略管理安全教育問題時，你的發(fā)言不能驚動首席財務(wù)信息官。了解董事會的風(fēng)險偏好，確保網(wǎng)絡(luò)安全風(fēng)險在企業(yè)財務(wù)風(fēng)險進(jìn)行管理范圍內(nèi)。楊布拉德說:“我推薦的方法是從談?wù)摴ぷ骱凸ぷ鞒晒_始。我不會用非常具有戰(zhàn)略意義的方式交談?！?/span>
4.對行業(yè)佳實(shí)踐進(jìn)行基準(zhǔn)測試
云服務(wù)平臺提供商N(yùn)etenrich的首席財務(wù)信息官Brandon Hoffman表示，董事會很關(guān)心該企業(yè)的安全管理狀況比同事好多少，差多少。一個原因可能是，在發(fā)生泄密事件時，公司的安全措施通常會與行業(yè)佳實(shí)踐或同事采用的實(shí)踐進(jìn)行比較。
Hoffman表示：“高層對了解行業(yè)發(fā)展相關(guān)企業(yè)風(fēng)險管理非常感興趣。"這種比較本身往往對創(chuàng)造更安全、風(fēng)險更低的環(huán)境沒有多大幫助。盡管如此，很多企業(yè)董事還是學(xué)生希望通過這樣做，因為在工作生活環(huán)境中幾乎沒有進(jìn)行有效地衡量安全性的方法。
Hoffman表示：“Chief信息安全（CIO）大的失誤之一是不將與安全相關(guān)的風(fēng)險與業(yè)務(wù)風(fēng)險相關(guān)聯(lián)。相反，報告往往側(cè)重于合規(guī)框架和技術(shù)措施，這些充其量只是日常工作的指標(biāo)。這確實(shí)無助于理解高管或董事會對工作的影響。`
5.抵抗網(wǎng)絡(luò)攻擊
董事會不僅在戰(zhàn)略和企業(yè)財務(wù)風(fēng)險管理層面對社會網(wǎng)絡(luò)信息安全問題越來越感興趣，而且還深入學(xué)生參與了企業(yè)可以抵抗和應(yīng)對網(wǎng)絡(luò)攻擊的工作。Thycotic首席信息官顧問兼首席運(yùn)營官Joseph Carson表示，應(yīng)使用員工、流程和技術(shù)將風(fēng)險降至低，同時在生產(chǎn)力和安全性之間保持適當(dāng)?shù)钠胶狻?/span>
董事會可以詢問首席信息官需要準(zhǔn)備解釋的問題，包括主要業(yè)務(wù)服務(wù)暴露在威脅軟件中的風(fēng)險、威脅軟件或其他攻擊對業(yè)務(wù)服務(wù)的影響的措施。他說：“哪些威脅會對業(yè)務(wù)產(chǎn)生大的影響，有哪些財務(wù)風(fēng)險，有減少風(fēng)險的選項?！蔽覀兊木W(wǎng)絡(luò)風(fēng)險差距有多大？例如，減少風(fēng)險的成本與不采取任何措施的成本相比如何？”“。
回答有關(guān)事件響應(yīng)計劃的問題，并準(zhǔn)備是否對所有可能對業(yè)務(wù)產(chǎn)生嚴(yán)重影響的威脅進(jìn)行了測試?？ㄉf:“我們應(yīng)該采取什么措施來細(xì)分業(yè)務(wù)的各個部分并控制訪問權(quán)限？”的圖表中。
哪些法規(guī)和法規(guī)遵從性要求、哪些法規(guī)、未滿足的法規(guī)和法規(guī)遵從性要求如何符合業(yè)務(wù)網(wǎng)絡(luò)風(fēng)險？”
6.持續(xù)遵守
Gorge表示，必須準(zhǔn)備討論持續(xù)的法規(guī)遵從性和持續(xù)的安全。董事會成員經(jīng)常會問，對網(wǎng)絡(luò)安全的投資需要多長時間才能獲得公司的收益。他說：“人們會問的，好吧，我們這樣做吧。那么在未來幾年里會保持得很好，對吧？或者我們需要繼續(xù)投資？”Gorge在這里表示，CIO和其他安全領(lǐng)導(dǎo)人應(yīng)該引入安全和合規(guī)不是結(jié)束的過程的概念。他們必須進(jìn)行明確，隨著經(jīng)濟(jì)業(yè)務(wù)的發(fā)展，安全管理需求也在不斷變化。重要的是，安全領(lǐng)導(dǎo)人要強(qiáng)調(diào)對資金、時間、能源等網(wǎng)絡(luò)安全持續(xù)投資的必要性。請說明3~5年來，這些投資如何降低成本、加強(qiáng)安全、增強(qiáng)客戶信任和獲得其他實(shí)際好處。
Gorge 表示："在網(wǎng)絡(luò)問責(zé)制和持續(xù)合規(guī)的背景下，CIO 面臨的大挑戰(zhàn)是演示網(wǎng)絡(luò)安全如何成為業(yè)務(wù)驅(qū)動因素，而不是簡單的成本?！辈皇钦f“如果我們不這樣做，就會發(fā)生安全事故”，而是說如何利用現(xiàn)有的模式，如何提高真正的價值，而是把網(wǎng)絡(luò)安全納入資產(chǎn)負(fù)債表。