停止争论,立即行动:网络安全需要明确领导权

安全
网络安全领导权之争需要立即停止!缺乏明确负责人和全业务支持,企业注定失败。别再争论,赋予安全领导者应有的权力和责任,否则将面临巨大风险。

你是否曾听到过有人在公司里认真地问:“谁负责法律事务?”或“谁制定财务战略?”可能没有——因为答案应该是显而易见的。然而,当涉及到网络安全时,领导权的问题似乎仍然引发无休止的争论。

这种情况在20世纪90年代或许还能理解,当时像首席信息安全官(CISO)这样的关键安全角色仍在摸索阶段。但时至今日,这无疑是一个严重的警示信号。

安全早已不再是小众的技术问题,而是一项基本的业务职能。因此,看到一些组织仍然将其视为新概念或事后补救措施,将其夹在IT和合规之间,没有明确的领导或方向,这实在令人沮丧。

面对日益猖獗和组织化的威胁行为者,争论的时间已经结束。网络安全需要一位拥有领导权力的明确定义的领导者。否则,注定会失败。

谁应负责网络安全?

将十几位不同的业务领导者聚集在一个房间里,询问谁负责他们的安全,你可能会得到同样多的答案。CISO似乎是最明显的选择,但CIO、IT主管或其他类似角色也可能是答案。

实际的头衔并不重要。重要的是他们是公司中最有资格的人。在大多数情况下,这个人应该是CISO,但许多公司——尤其是小型组织——并没有这个职位。

在这种情况下,安全的责任必须向上级转移。必须明确由某个人——COO、CFO甚至CEO负责。“我们没有专门的安全领导者”这样的借口是站不住脚的。许多公司完全可以在没有CFO的情况下制定财务战略,因此他们毫无疑问可以在没有CISO的情况下制定安全战略。

但真正的问题不仅是找到合适的人,而是确保他们拥有权威、资源和全业务范围的支持,以有效执行任务。即使是最精明的CISO,如果没有支持,也只是一个傀儡,而由委员会负责的安全策略注定是一场灾难。

除非网络安全领导者被赋予与法律或财务战略同等的权威和责任,否则他们将继续让自己暴露在风险之中。内部的不确定性是网络犯罪分子梦寐以求的脆弱目标。

为什么安全不能孤立运作?

多年来,我们一直在争论网络安全是一个业务问题,而不是IT问题。然而,安全仍然经常被当作一个孤立的功能,被放任在真空中运作。这是一个严重的错误。如果安全领导者没有在决策桌上占有一席之地,他们就无法真正影响更广泛的业务战略。

保障公司安全是一项团队努力。正如CFO不会单独“负责”财务成功一样,CISO(或任何负责安全的人)也不应该独自战斗。

尽管应该有一个明确定义的安全领导者,但高管层必须共同承担责任,确保安全嵌入到组织的每一个方面。

安全策略必须是自上而下的,而不是自下而上的。如果领导层不推动它,再多的技术控制也无法拯救企业。安全政策——无论是强制执行多因素认证(MFA)还是设置数据治理规则——不应该被视为IT指令。它们是业务决策,必须被如此对待。

治理是强大安全战略的支柱

将网络安全作为团队努力的一部分,很大程度上有赖于适当的治理支持。然而,网络安全往往被视为一种模糊的愿望,而不是一种结构化、可问责的功能。没有治理的策略不过是一张愿望清单。

没有明确的治理,安全工作很容易变得被动、脱节,并容易被董事会上声音最大的人否决。

治理确保网络安全是一项可执行的业务优先事项,而不是一项勾选框的练习。这意味着制定明确的政策,定义风险容忍度,最重要的是,确保安全决策基于实际的业务需求,而不是内部政治。

此外,治理不仅仅是自上而下的指令。它是一条双向通道:董事会设定方向,但来自安全团队和运营人员的反馈会对其进行优化。仅存在于纸面上而没有业务现实输入的治理框架,与完全没有治理一样危险。

要使网络安全与更广泛的业务目标保持一致,主要利益相关者需要保持定期沟通。具体频率取决于公司的规模和结构,因此每个企业都需要找到一个平衡点。重大投资和变更应通过变更咨询委员会(CAB)流程,以确保一切都被考虑到。

外包:解决方案还是捷径?

值得注意的是,对于许多企业来说,安全并不是内部处理的,而是一项外包功能。这通常是资源有限的小公司的选择,缺乏资源来招聘和留住专门的网络安全负责人,但大公司也可能如此。

在我的职业生涯中,我曾经历过双方的角色,既担任过顾问,也管理过外部供应商。

一个重要的教训是,如果企业只是简单地将任务抛给一群顾问,并说:“为我们制定一个网络安全策略”,这是行不通的。没有适当的输入和方向,结果可能并不适合你的公司。

多年前,我曾在一家公司工作,我们将业务连续性规划外包给一家大型供应商。他们制定了一份详尽、精美的200页计划……但这完全不适合我们的业务。我们重写了它,最终将其精简为15页,紧密贴合我们的需求。

另一方面,作为顾问,我曾帮助创建了一些优秀的框架,公司负责大部分工作——我只是提供一个框架,并提出正确的问题,引导他们以正确的方式思考。

我还强烈建议,如果你不愿意保持参与,那就不要外包。安全不是一次性交付的持续监督和问责无法完全外包。

少谈多做

没有企业会期望在没有明确的法律或财务领导的情况下取得成功,那么为什么安全要有所不同呢?关于网络安全领导权的无休止争论需要停止。

确定负责人,赋予他们领导的权力,并确保他们拥有全业务的支持,以做好保障组织安全所需的事情。

停止争论,开始决策,赋予网络安全应有的领导地位。

责任编辑:赵宁宁 来源: FreeBuf
相关推荐

2021-10-27 13:22:38

存储漏洞存储阵列

2014-02-17 10:02:43

倪光南Windows XP信息安全

2022-08-21 15:58:18

网络安全网络攻击漏洞

2015-02-12 09:32:17

Node.jsJoyent

2020-04-24 14:21:42

网络安全疫情技术

2010-03-10 09:21:53

APC数据中心热量

2022-03-05 11:53:41

网络安全领导者网络安全

2015-06-02 09:38:08

网络安全宣传周趋势科技

2011-03-25 10:29:56

甲骨文惠普数据中心

2020-01-27 23:25:17

亚信安全火神山医院网络安全

2023-10-11 07:12:00

2016-08-22 12:06:11

2024-06-24 20:57:06

2023-05-29 00:05:43

2010-01-18 10:33:42

2023-06-25 14:35:27

网络安全安全漏洞

2022-08-15 06:53:22

网络攻击网络安全

2022-08-23 14:51:37

网络安全领导层存储

2011-03-17 13:32:45

2016-04-25 11:42:58

点赞
收藏

51CTO技术栈公众号