[[441908]]

1.首席信息安全官角色的基本要素是什么?

每個人對首席信息安全官(CISO)這個職位都有著不同的看法，但人們通常談論的是監(jiān)督企業(yè)安全計劃的管理人員。最初的看法是，首席信息安全官專注于使用安全技術阻止對企業(yè)的違規(guī)行為，盡管這是其工作的一部分，但首席信息安全官的作用遠不止于此。

首席信息安全官的角色根據企業(yè)的情況而有所不同，具體取決于他們的需求。其工作范圍可能包括安全治理和合規(guī)性、隱私、產品安全，甚至物理安全。但在尋求功能之間的協同作用時，物理安全經常被人忽視。

網絡安全和物理安全都具有共同的主題，并且都受益于高水平的態(tài)勢感知。對數字信息的威脅通常類似于對個人或設施的威脅，而物理安全事件也可以迅速演變?yōu)樾畔踩录?。這就是首席信息安全官和更廣泛的企業(yè)促進物理和網絡安全實踐之間的聯系至關重要的原因。

除了在不同的安全領域擁有足夠的技術和知識之外，首席信息安全官還負責彌合技術與人員之間的差距。幫助非技術業(yè)務領導者了解應該做出復雜技術決策的原因，可以使這些領導者成為安全的擁護者。

2.成為成功的首席信息安全官所需的主要能力是什么?

對任何首席信息安全官或安全領導者來說，必不可少的兩種能力是親和力和適應性。從本質上來說，安全專業(yè)人員需要能夠與他人密切協作并適應變化。

如果將首席信息安全官的職責分解到其基本層面，它是一種基于說服的職能，并依賴于強大的協作技能。首席信息安全官的工作是召集各級利益相關者(企業(yè)董事會成員、高管領導層和所有員工)成為安全倡導者和從業(yè)者。首席信息安全官還應該阻止違規(guī)行為，雖然這是他們的目標，但如果企業(yè)的每個人都不盡自己的一份力量，那么他們就無法做到這一點。這可能意味著改變對企業(yè)構成安全風險的根深蒂固的行為，這需要時間、同理心以及對共同目標的強烈認同。安全團隊可能會部署其想要的所有工具和流程，但如果員工沒有正確地做事的話，這些目標都難以實現。

作為這一角色的一部分，首席信息安全官面臨著一項艱巨的任務，即說服企業(yè)的每個利益相關者以統一積極的態(tài)度對網絡安全進行投資——無論是在財務上還是在個人方面。首席信息安全官必須找到一種方式，以顯示對業(yè)務進行支持的方式傳達其優(yōu)先事項。

協作是任何一個安全實踐成功的關鍵因素，因此建立一個具有各種不同技能、相互補充的安全團隊將極大地增強業(yè)務活力。首席信息安全官不必擁有計算機科學學位，也不必擁有豐富的以技術為中心的職業(yè)道路。重要的是，他們需要與業(yè)務合作伙伴產生共鳴，并找到一條正確前進的道路，通過保護企業(yè)的信息資產幫助他們取得成功。

3.人為因素與技術要求的契合度如何?

不言而喻，人員是安全計劃獲得成功的基礎，人為因素是首席信息安全官在安全方面應該關注的重點。技術在安全領域當然很重要，但隨著新的威脅和對策在網絡安全方面的不斷斗爭，技術也在不斷變化和發(fā)展。

首席信息安全官還需要花費時間向他們的利益相關者宣傳這些對策。零信任就是一個很好的例子。雖然聽起來很新穎且具有創(chuàng)新性，但這個概念已經存在了幾十年——這不是魔術，而只是安全常識。但是，盡管零信任對安全從業(yè)者來說聽起來很酷，但最終用戶可能有不同的看法。研究發(fā)現，32%的企業(yè)安全領導者表示，如果實施零信任策略，擔心員工會認為企業(yè)不信任他們。他們認為，首席信息安全官應該認識到何時以及如何管理這樣的觀念以充分利用他們的技術戰(zhàn)略。

4.對首席信息安全官有何建議?

有人說，“對于一名首席信息安全官來說，如果沒有人對他大喊大叫，那么他可能沒有做好自己的工作。”盡管這聽起來很極端，但它是真實的。他們的工作是進行變革，這并不總是一個簡單的過程，并且可能會在這一過程中會惹惱一些人。但為了提高企業(yè)的最佳安全性，首席信息安全官必須表明立場，讓員工走出他們的舒適區(qū)。

雖然首席信息安全官在遭遇網絡攻擊事件之后可能成為替罪羊，但人們仍然期望首席信息安全官能夠防止違規(guī)行為，但在出現問題時可能會指責他們。為此建議安全專業(yè)人士不要將這樣的情況視為個人行為——數據泄露是不可避免的，實際上可以為所有相關人員提供寶貴的經驗和教訓。在現代企業(yè)中有如此多的活動，首席信息安全官不可能每次都能成功阻止網絡攻擊事件。與其相反，應該將關注重點放在從這些事件中吸取教訓，并進行調整以防止下一次網絡攻擊;他們還應該了解這些事件可能對其團隊成員造成的影響，并討論對于安全事件反應的心理和情緒，以及如何在行動中保持樂觀。

最后，首席信息安全官改變安全態(tài)度的使命只有在企業(yè)其他成員愿意傾聽的情況下才能成功。雖然教育和說服是安全團隊的工作，但重要的是其他人也要參與進來。在企業(yè)內部開展協作是構建防御和抵御網絡攻擊和安全威脅的最佳方式。