随着运营和安全风险在企业中的融合，首席信息安全官（CISO）的角色正在不断发展和扩展。今天的CISO比以往任何时候都更接近执行职能部门，并负责教育企业安全管理人员。

根据RSA 最近发表的一份白皮书，82％的首席信息安全官认为他们的执行领导层参与了安全团队保护网络和数据的努力。随着安全风险越来越多地与业务风险交织在一起，执行董事会开始关注数据安全的重要性。

如何在安全性和C-Suite之间建立双向通道？

虽然高级管理人员已经越来越意识到安全功能的重要性，但最近的研究表明，安全性正在导致技术部门和董事会之间复杂的文化障碍。据RSA白皮书显示，70％的首席信息安全官报告说，管理安全和风险领导者之间的关系可能很困难。这种困难归因于缺乏共享技术，语言，指标和目标。

为了在企业风险管理框架上进行有效协作，首席信息安全官必须建立一个共同的术语。虽然CISO迅速扩大对许多安全领导者来说是令人不安的，但解决沟通障碍是降低安全风险的关键。

不要高估网络安全准备

根据IBM商业价值研究院的一项名为“ 保护C-Suite ”的研究，94％的首席执行官认为他们的组织可能会在未来两年内遇到安全事件。虽然企业领导者的意识越来越强，但近一半的受访高管对企业安全态势过于自信。虽然这些高管中有65％对其已经建立起来的安全响应计划非常有信心，但只有17％的企业符合明确定义和实施的网络安全功能的研究标准。

在准备最充分的企业中，执行职能部门通过跨职能协作，授权的CISO和明确的外部协作工作，在安全风险缓解方面发挥积极作用。首席高管的观念与现实之间的巨大差距凸显了首席信息安全官与企业领导层之间跨职能合作的重要性。由于近一半的高管表现出过度自信，因此明显需要提高董事会的安全风险意识。

协同解决安全风险的5个步骤

虽然首席信息安全官的角色比以往任何时候都更加重要，但许多企业仍有很大的空间来改善安全与领导之间的一致性。不幸的是，在安全事件发生之前，主要由CISO来缓解紧张局势并增进相互理解以建立有效的跨职能合作。让我们来看看安全领导者可以采取的五个步骤，以便与高层管理人员更有效地合作。

1.早先合作

业务和风险之间的主动协作可以增强网络准备。47％的首席信息安全官认为，在流程早期将业务风险领导者暴露给IT计划可以帮助团队更准确地评估技术计划的业务风险。

美联储CISO Devon Bryan告诉管理信息系统培训学院（MISTI），今天的安全领导者需要立即“优先考虑与业务部门的合作关系”。“CISO需要合作以确保满足客户需求和期望，并支持市场推广策略，”他说。

董事会中的高效协作要求安全领导者积极建立关系，寻求对话，并确保业务负责人彻底了解安全目标和策略。

2.创建共享定义

虽然今天的首席信息安全官精通安全实践的语言，但许多人缺乏对商业风险评估的正式知识。同样，首席风险官和其他高管都精通商业风险语言，如影响和可能性，但缺乏对网络复杂技术方面的洞察力。

使用国家标准与技术研究院（NIST）和国际标准化组织（ISO）的定义创建共享分类是在管理企业安全风险时明确定义安全和业务领导者目标和优先级的良好开端。

3.制定统一指标

借助共享语言和对安全性在企业风险框架中的作用的理解，CISO应与执行功能部门协同工作，以开发一套用于沟通企业风险和准备的关键指标。除了针对网络威胁的明确措施之外，统一指标还应涉及业务部门积极保护企业和员工意识的努力。

在MISTI文章中，Duke Health CISO Chuck Kesler建议企业制定两到三个关于安全和意识的共享年度绩效目标。他说，记录性能目标“保证了每个人的安全，并自然地创造了检查进度的机会。”

4.正式分享技能

在事件发生之前，IT和风险管理之间共享语言和知识转移的正式举措至关重要。企业可以受益于高管参与第三方顾问领导的演习，联合能力工作组的发展以及正式的同伴指导工作。

5.依靠技术和数据

安全风险管理本质上是一种实时操作。有效的跨职能协作和响应需要共享工具，这些工具可能由通用分析核心统一。为了开发统一的风险管理模型和框架，安全领导者应首先实施全面的安全事件和事件管理（SIEM）解决方案，以提高网络可见性。

利用专家顾问的帮助，首席信息安全官应努力实施必要的实时报告解决方案，将情报分为内部和外部异常，以及响应协调。业务和技术领导者之间的共享技术可以促进对企业安全状况和响应能力的共同理解。

一切都在寻找共同点

虽然今天近一半的首席信息安全官仍在追赶适应他们在企业中越来越重要的角色，但网络安全和业务风险的融合仍在不断提升。虽然今天的执行领导者比以往任何时候都更注重风险，但CISO必须围绕有效的跨职能协作和沟通应对新的挑战。

在大多数网络准备企业中，执行职能部门应该积极参与定期讨论网络安全风险和准备工作。有效的协作需要共同的理解，而今天的CISO可以开发跨越技术和业务部门的通用语言、指标和技术。