洞察:安全旨在降低风险而不是隔绝风险

洞察:安全旨在降低风险而不是隔绝风险

黑帽SEO访客2021-10-11 12:33:007834A+A-

企业战略集团(ESG)最近的一项研究发现,CISO平均任期为2至4年。为什么很多安全专业人员的任期短暂?原因多种多样,各家公司的安全职位设置和要求不同就是原因之一。很多公司企业面对不断发展变化的安全与风险策略,获得安全职业成功的关键竞争力自然也随之变化。十几年来,CISO角色方面的成功该是什么样子一直众说纷纭,这种模糊不清的状态常常引发误解、错误期待和职业倦怠,个中原因不仅有层出不穷的安全挑战,更是因为公司上下缺乏对CISO职位的清晰定义与期待。

重大数据泄露事件曝光、合规要求公布,以及围绕数据隐私权的持续讨论,开拓了高管层和董事会的眼界,凸显出CISO角色的重要性。很多高管和董事会成员将网络安全投资视为保险费,旨在避免数据泄露,经常对见诸报端的重大漏洞或情报界数据泄露反应过度。这导致高管和董事会要求CISO确保公司免遭此类重大数据泄露事件侵扰,却忽视了这些事件仅占常见网络威胁1%的事实,对公司更有可能遭遇的常见网络攻击场景缺乏认知,更遑论重视抵御这些攻击所需的防御工作和安全投资了。

明确性的缺乏导致对CISO角色的误解和认知各异。CISO职位描述因公司规模、业务性质、是否上市等因素而异。何谓成功CISO一直是企业讳莫如深的谜团之一。某些公司里,CISO负责从企业风险、合规、服务生产到部署的所有内容,而且通常要在人手不足、预算缺乏的情况下履行自身这诸多职责,无论这些业务期望多么不同寻常。

有了CISO之后就想百分之百的网络安全是不现实的。他们的职责应是根据公司的业务目标、支持资源和运营预算,合理安排公司的安全投资。定义合理、支持良好、执行正确的安全项目,旨在最小化业务风险,而不是实现零风险。除了负责管理公司安全和合规,许多CISO发现自己还兼顾业务开发、客户获取、客户保留、员工发展和员工保留的工作。

就CISO职能而言,公司安全意识培育和职业发展是被低估的一个重要方面。与其他业务主管一样,CISO在人才保留和人才培养方面承受着巨大的压力。网络安全人才供不应求,因此安全主管应与其员工密切合作,确保人才发展,从而提高人才保留率。在已经资源紧张和预算有限的公司中,安全人才流失会加大实现既定业务目标的难度,增加CISO所承受的压力。

现代CISO是否能够平衡对自身角色的巨大需求?这诸多要求往往伴随着高管和董事会在风险方面缺乏明确协调、资源和预算不足,以及超出风险缓解任务之外的业务压力。这些都是导致CISO职业倦怠的主要因素。

安全社区和业务主管必须共同努力,积极塑造CISO角色,并确保CISO取得成功。先从投入时间了解安全需求开始,然后商定业务风险容忍度。一旦确定了风险容忍度,考虑到CISO承受的额外压力,对安全项目进行资源和资金支持至关重要。公司的安全目标不仅是降低业务风险,而且要在消除CISO职业倦怠风险的情况下做到这一点。CISO这一行政职位可是越来越难以招聘和保留了。

ESG研究报告:

https://www.esg-global.com/hubfs/issa/ESG-ISSA-Research-Report-Abstract-Life-of-Cybersecurity-Professionals-Nov-2017.pdf

来源:数世咨询

点击这里复制本文地址 以上内容由黑资讯整理呈现,请务必在转载分享时注明本文地址!如对内容有疑问,请联系我们,谢谢!
  • 4条评论
  • 只影绾痞2022-06-02 13:39:57
  • 责从企业风险、合规、服务生产到部署的所有内容,而且通常要在人手不足、预算缺乏的情况下履行自身这诸多职责,无论这些业务期望多么不同寻常。有了CISO之后就想百分之百的网络安全是不现
  • 北槐缪败2022-06-02 20:19:06
  • 业面对不断发展变化的安全与风险策略,获得安全职业成功的关键竞争力自然也随之变化。十几年来,CISO角色方面的成功该是什么样子一直众说纷纭,这种模糊不清的状态常常引发误解、错误
  • 笙沉野梦2022-06-02 19:44:27
  • 目标、支持资源和运营预算,合理安排公司的安全投资。定义合理、支持良好、执行正确的安全项目,旨在最小化业务风险,而不是实现零风险。除了负责管理公司安全和合规,许多
  • 冢渊礼忱2022-06-02 20:40:10
  • 业倦怠,个中原因不仅有层出不穷的安全挑战,更是因为公司上下缺乏对CISO职位的清晰定义与期待。重大数据泄露事件曝光、合规要求公布,以及围绕数据隐私权的持续讨论,开拓了高管层和董事

支持Ctrl+Enter提交

黑资讯 © All Rights Reserved.  
Copyright Copyright 2015-2020 黑资讯
滇ICP备19002590号-1
Powered by 黑客资讯 Themes by 如有不合适之处联系我们
网站地图| 发展历程| 留言建议| 网站管理