CISO在使安全目標(biāo)與企業(yè)期望保持一致方面的關(guān)鍵作用

責(zé)任編輯:cres

作者:Mirko Zorz

2024-01-18 17:22:00

來源:企業(yè)網(wǎng)D1Net

原創(chuàng)

在訪談中,Gartner的副總裁兼分析師Chris Mixter討論了CISO的動態(tài),以及他們的角色如何在多年來發(fā)生的顯著變化,他概述了2024年CISO的關(guān)鍵技能,克服了他們面臨的挑戰(zhàn),并強調(diào)了使企業(yè)的期望與信息保護(hù)需求保持一致的重要性。

近些年來,CISO的角色是如何演變的,特別是在克服挑戰(zhàn)和以遠(yuǎn)見引領(lǐng)方面?
 
Gartner觀察了每個公司的CISO的四個發(fā)展階段:控制經(jīng)理->風(fēng)險決策所有者->值得信賴的促進(jìn)者->和價值創(chuàng)造者。每個階段都建立在它之前的階段上,因此,我們不會將這些階段中的任何一個階段定位為“糟糕的”或“不成熟的”,而是作為下一階段表現(xiàn)的先決條件和貢獻(xiàn)者。我們定期對CISO的有效性進(jìn)行基準(zhǔn)評估,大多數(shù)CISO自認(rèn)為處于“風(fēng)險決策所有者”或“值得信賴的促進(jìn)者”階段。大多數(shù)CISO已經(jīng)不再僅僅是控制管理者,“價值創(chuàng)造者”的角色仍然很稀有。
 
現(xiàn)在,當(dāng)你進(jìn)入這些階段,了解CISO的角色是如何演變的,最好的描述是這個角色仍然是一個“不穩(wěn)定的分子”?,F(xiàn)在,“不穩(wěn)定分子”并不是貶義,而僅僅是對現(xiàn)實的描述。這并不令人驚訝——畢竟,CISO這一角色實際上是在20世紀(jì)90年代中期才出現(xiàn)的。金融領(lǐng)袖們花了一千多年時間(這并不夸張)來理清他們的職權(quán)范圍,而CISO的角色在很大程度上仍處于早期階段??紤]到公司和政府機構(gòu)對網(wǎng)絡(luò)安全的要求不同,角色的變化也是意料之中的,所以我們預(yù)計CISO的角色會有一些變化。
 
然而,作為一種不穩(wěn)定的分子確實會給CISO帶來問題。首先,它讓CISO有別于他們預(yù)計將與之接觸的其他C級高管。在類似的C級領(lǐng)導(dǎo)中,CHRO、CFO、銷售主管、市場營銷主管等職位的差異很小,因此CISO的同行往往很難準(zhǔn)確跟蹤CISO做什么和不做什么。對于CISO來說,當(dāng)今最痛苦的現(xiàn)實之一是企業(yè)/機構(gòu)對其CISO的期望與CISO的實際任務(wù)和資金交付之間的持續(xù)脫節(jié)。這種脫節(jié)目前最明顯的表現(xiàn)是圍繞CISO在支持其企業(yè)遵守最新的SEC披露規(guī)則方面所扮演的角色的不確定性——無論是來自更廣泛的高管團隊還是來自CISO本身,但還有許多其他例子。
 
為了達(dá)到值得信賴的促進(jìn)者和價值創(chuàng)造者的階段,CISO需要集中精力縮小企業(yè)期望與CISO實際能力(和資金!)之間的差距,去交付。
 
在你看來,在2024年發(fā)展CISO最關(guān)鍵的技能是什么?
 
關(guān)于CISO應(yīng)該發(fā)展哪些技能,世界上充斥著人們的意見。我的偏好是始終依賴數(shù)據(jù)!
 
Gartner的CISO有效性研究確定了14種行為和心態(tài)是CISO的必備條件。每年有200多名CISO為這一分析貢獻(xiàn)他們的績效和行為數(shù)據(jù),最新版本顯示了前五名:發(fā)起關(guān)于不斷發(fā)展的規(guī)范以保持領(lǐng)先于威脅的討論、積極參與確保新興技術(shù)的安全、將定期發(fā)生的時間專門用于專業(yè)發(fā)展活動、與項目背景外的高級決策者建立關(guān)系,以及通過與高級業(yè)務(wù)決策者的合作定義風(fēng)險偏好。
 
顯然,當(dāng)人們讀到“積極參與確保新興技術(shù)的安全”時,人們的思維會轉(zhuǎn)向“弄清楚人工智能中的風(fēng)險和機會”,但是,我從CISO那里得到的大多數(shù)問題都與在項目和問題的背景之外建立關(guān)系的挑戰(zhàn)有關(guān)。例如,我們的基準(zhǔn)測試清楚地表明,與首席財務(wù)官和銷售主管的定期接觸是最有效的CISO的一個與眾不同之處,但這種與眾不同的部分原因是,這種接觸在CISO社區(qū)中很少見,而且?guī)缀蹩偸桥c核心安全問題有關(guān)。
 
有效的CISO已經(jīng)超越了“如何讓你的職能更安全”,而是創(chuàng)造雙向價值,這意味著需要真正了解CFO和CSO的優(yōu)先事項是什么。劇透提醒:他們最優(yōu)先考慮的不是,也不應(yīng)該是網(wǎng)絡(luò)安全。
 
如上所述,在“不斷發(fā)展的規(guī)范”和“在項目背景之外建立關(guān)系”的聯(lián)系下,至少對于在美國市場交易的公司來說,支持企業(yè)努力遵守最新的SEC規(guī)則。CISO在這里過度擴張的風(fēng)險很大,但也創(chuàng)造了巨大的價值,并展示了真正的C級領(lǐng)導(dǎo)能力。因此,在技能發(fā)展方面,CISO需要專注于設(shè)定一些界限。例如,如果你不是公司的管理人員,就不要簽署8-K或被迫決定什么是實質(zhì)性。
 
CISO面臨的最大挑戰(zhàn)是什么?你建議如何解決這些挑戰(zhàn)?
 
更容易的任務(wù)是列出不重要的挑戰(zhàn),因為這將是一個短得多的列表!作為一名網(wǎng)絡(luò)安全領(lǐng)導(dǎo)者的本質(zhì)是,確實沒有任何小問題,其中一位我尊敬并從中學(xué)到很多的CISO在她的業(yè)績儀表盤上只有紅色和綠色。她告訴我,黃色在網(wǎng)絡(luò)安全中并不存在。有些東西要么壞了,要么沒有!我認(rèn)為這種觀點很有洞察力。
 
對于CISO來說,最大的挑戰(zhàn)是時間管理。我們距離網(wǎng)絡(luò)安全領(lǐng)域“爭奪一席之地”的時代還有很長一段路要走——與我共事的大多數(shù)CISO現(xiàn)在都被邀請,甚至被要求在每一張桌子上!不出所料,效率飆升的CISO是那些無情地對待他們的時間的人。他們深思熟慮地決定與誰打交道,以及與他們打交道的程度,并委托/自動化其他所有事情。
 
可以肯定的是,網(wǎng)絡(luò)安全在很大程度上是一種生活方式選擇,因此,每個CISO的工作/生活平衡的構(gòu)成將是不同的,但是,從多年的分析和經(jīng)驗中可以清楚地看到,大多數(shù)CISO在進(jìn)入這份工作時都認(rèn)為,“始終在線”是該角色的一項要求,而且,‘爭奪餐桌一席之地’時代留下的遺產(chǎn)之一是想要無處不在,在我們能做的任何地方貢獻(xiàn)價值,這些行為和心態(tài)沒有規(guī)模,這從CISO角色令人難以置信的離職率和倦怠中可見一斑。
 
盡管聽起來很簡單,但解決辦法是開始把時間當(dāng)作你最稀缺的資源。培養(yǎng)時間管理技能,就像培養(yǎng)角色的其他關(guān)鍵技能一樣。事實上,我支持客戶的最常見方式之一是,在他們看到我們的CISO有效性基準(zhǔn)中的“個人發(fā)展”后,領(lǐng)導(dǎo)時間管理研討會來幫助他們培養(yǎng)這項技能。
 
CISO如何在網(wǎng)絡(luò)安全的技術(shù)方面與日益增長的業(yè)務(wù)敏銳性需求之間取得平衡?
 
CISO需要深層次的技術(shù)能力——如果沒有與技術(shù)的大規(guī)模連接,網(wǎng)絡(luò)安全是不會起作用的,而且,一旦你比CISO低了一兩層,技術(shù)就是一切!僅出于可信度的原因,CISO需要有技術(shù)印章,這樣他們才能在職能范圍內(nèi)積極做出貢獻(xiàn)。根據(jù)你所在的行業(yè)或公司的規(guī)模,親身實踐技術(shù)可能是這一角色中適當(dāng)且必要的一部分。我認(rèn)為,大多數(shù)精明的CISO都不相信他們可以通過僅限于政策/治理來交付價值。
 
與此同時,由于大多數(shù)CISO來自技術(shù)和運營領(lǐng)域,當(dāng)面對模棱兩可且往往是政治性的領(lǐng)導(dǎo)力世界時,很容易在他們的技術(shù)舒適區(qū)過度投資。因此,我們看到越來越多的CISO依賴高級安全架構(gòu)師來保持與技術(shù)世界的聯(lián)系,從大量機會中篩選出真正需要高管級別關(guān)注的子集。同時,讓他們的領(lǐng)導(dǎo)團隊能夠自主做出更多決策,這樣CISO就不會被置于“親自選擇每一家供應(yīng)商”的境地。
 
最后,你如何展望CISO角色的未來,該領(lǐng)域的專業(yè)人員應(yīng)該為什么趨勢做好準(zhǔn)備?
 
我的期望是,CISO的角色將繼續(xù)在職權(quán)范圍、報告結(jié)構(gòu)和各種其他因素方面保持高度多樣化。同樣,在企業(yè)領(lǐng)導(dǎo)力的背景下,這一角色仍然是相對較新的,而且對信息保護(hù)的理解和需求在不同行業(yè)之間都存在很大差異,所有這些都意味著我們不太可能在短期內(nèi)看到CISO角色被“確定”。
 
因此,利用你的時間,讓你的“北極星”縮小你的企業(yè)期望與真正必要和可能的之間的差距,這些將是每個CISO的重要焦點。
 
此外,Gartner剛剛發(fā)布了2024年最重要的網(wǎng)絡(luò)安全趨勢。簡而言之,我們建議CISO在2024年的工作中納入九個趨勢:
 
·持續(xù)的威脅暴露管理
·擴展IAM的網(wǎng)絡(luò)安全價值
·第三方網(wǎng)絡(luò)安全風(fēng)險管理
·隱私驅(qū)動的應(yīng)用程序和數(shù)據(jù)分離
·GenAI
·安全行為和文化計劃
·網(wǎng)絡(luò)安全成果驅(qū)動型指標(biāo)
·不斷發(fā)展的網(wǎng)絡(luò)安全運營模式
·重新掌握網(wǎng)絡(luò)安全技能
 
企業(yè)網(wǎng)D1net(m.r5u5c.cn):
 
國內(nèi)主流的to B IT門戶,同時在運營國內(nèi)最大的甲方CIO專家?guī)旌椭橇敵黾吧缃黄脚_-信眾智(www.cioall.com)。同時運營19個IT行業(yè)公眾號(微信搜索D1net即可關(guān)注)。
 
版權(quán)聲明:本文為企業(yè)網(wǎng)D1Net編譯,轉(zhuǎn)載需在文章開頭注明出處為:企業(yè)網(wǎng)D1Net,如果不注明出處,企業(yè)網(wǎng)D1Net將保留追究其法律責(zé)任的權(quán)利。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號-6京公網(wǎng)安備 11010502049343號