資安長的挑戰 對高層溝通五大關鍵策略
編譯／Cynthia
網路安全事件，如2024年6月底的CDK大規模勒索軟體攻擊，已逐漸成為常態。企業高層對此議題的重視不斷提升，因此資安長（CISO）面臨的重要任務，就是必須向董事會和高層清楚報告安全狀況，而挑戰在於如何以易理解的商業用語轉化技術風險，避免溝通不良帶來的潛在風險。
企業資安與高層溝通挑戰
在企業組織中，資安長與高層管理之間的層級關係面臨著顯著挑戰。據Heidrick and Struggles的研究，僅有5%的資安長直接向執行長報告，大多數資安長與執行長相隔兩層管理層，這樣的組織結構可能影響資安策略在企業決策中的優先性與有效性。Ponemon Institute調查顯示，僅37%的組織充分運用資安長的專業知識，顯示出企業在利用資訊安全專業能力上的不足。Gartner研究顯示，僅有10%的董事會成立網路安全委員會，顯示在網路安全治理和監督方面存在缺乏。
這些數據顯示企業在管理資訊安全挑戰和提升資訊安全策略影響力上面臨的重要挑戰，企業應該加強組織層級間的溝通和資源配置，以更有效地因應日益嚴峻的網路安全威脅。
有效管理網路安全的五大策略
資安長需要有效管理企業的網路安全挑戰，並清晰地向企業高層溝通。以下五大關鍵問題涵蓋資安長在此過程中的重要工作：
如何證明網路安全預算的合理性：
資安長需展示投資報告，保護關鍵數據和基礎設施，以證明安全預算的必要性。
如何掌握風險報告的技巧：
報告需清晰且以資料導向，量化風險並強調可能的財務損失，從而將安全投資視為業務推動者。
如何表揚安全成就：
重視成功案例，提升組織士氣，展示安全投資的實質價值，同時嚇阻潛在攻擊者。
如何更好地與其他團隊合作：
跨部門合作至關重要，整合安全認知培訓和制定清晰的安全政策，以有效應對安全威脅。
如何專注於最重要的事情：
優先處理關鍵安全風險，對應組織業務目標，並策略性地解決安全問題，以提升整體安全姿態。
提升企業安全的關鍵策略
網路攻擊日益嚴重，要求資安長與董事會之間溝通清晰。資安長應首要考慮風險溝通，以商業用語解釋複雜威脅，突顯攻擊可能帶來的財務損失和聲譽損害，除了問題報告，資安長應該展示安全策略的進步，透過以數據為基礎，顯示安全投資的效益，例如成功減少攻擊次數或快速識別和修補漏洞。這些努力有助於資安長更有效地保護企業，並贏得企業高層的支持，確保持續的安全投資。
資料來源：The Hacker News
瀏覽 324 次
