建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
早期的CSO，角色定位相當(dāng)模糊，并且經(jīng)驗(yàn)不足，隨著安全經(jīng)驗(yàn)的增加和職位的明晰，CSO們對(duì)安全風(fēng)險(xiǎn)的認(rèn)識(shí)也更加深入，作用也顯而易見(jiàn)——積極引入安全功能的企業(yè)能夠在技術(shù)變革的大潮中處于更為有利的位置，進(jìn)而從容應(yīng)對(duì)持續(xù)威脅及安全漏洞帶來(lái)的沖擊。
創(chuàng)新互聯(lián)建站主要從事成都網(wǎng)站設(shè)計(jì)、做網(wǎng)站、網(wǎng)頁(yè)設(shè)計(jì)、企業(yè)做網(wǎng)站、公司建網(wǎng)站等業(yè)務(wù)。立足成都服務(wù)瓊海,10年網(wǎng)站建設(shè)經(jīng)驗(yàn),價(jià)格優(yōu)惠、服務(wù)專(zhuān)業(yè),歡迎來(lái)電咨詢(xún)建站服務(wù):13518219792
經(jīng)過(guò)十年的探索及發(fā)展，CSO這個(gè)角色終于突破了大環(huán)境對(duì)新生事物的束縛成為了一種趨勢(shì)，許多企業(yè)已經(jīng)建立了CSO一職或者與之類(lèi)似的職位，這是一個(gè)可喜的進(jìn)步。遺憾的是，正當(dāng)CSO角色欣然走向成熟的時(shí)候新的“威脅”又出現(xiàn)了，這次的威脅更加兇險(xiǎn)，它來(lái)自CSO賴(lài)以生存的企業(yè)內(nèi)部。
CSO面臨著企業(yè)內(nèi)部的重重攻擊
目前尚無(wú)一套標(biāo)準(zhǔn)化方案能夠指導(dǎo)企業(yè)準(zhǔn)確定義CSO這個(gè)角色，因此，在多數(shù)情況下，CSO僅僅是一位被賦予了安全職責(zé)及保護(hù)公司義務(wù)的安全管理者，他們往往無(wú)法獲得工作中所必需的資源、權(quán)利或者與高管及董事會(huì)對(duì)話(huà)的資格。因此，不少公司的CSO屬于名存實(shí)亡。
如果沒(méi)有意識(shí)到這一點(diǎn)，大家可以通過(guò)下面的問(wèn)題做個(gè)簡(jiǎn)單的測(cè)試，以便對(duì)所在的企業(yè)是否擁有成熟的安全管理模式有個(gè)清晰的認(rèn)識(shí)——
●您企業(yè)的CSO是否會(huì)向董事會(huì)成員提交年度報(bào)告?
●是否定期與CEO或COO進(jìn)行交流磋商?
●董事會(huì)或CEO以何種形式為處理風(fēng)險(xiǎn)事務(wù)的管理者提供必要權(quán)利?這種授權(quán)機(jī)制是否正式?
●董事會(huì)或者CEO如何確定企業(yè)對(duì)信息安全風(fēng)險(xiǎn)的承受能力?這種能力是否擁有與之相匹配的文檔說(shuō)明及溝通機(jī)制?
●CSO定位能否為在職者提供必要的團(tuán)隊(duì)管理權(quán)?
●CSO是否只能向CEO或董事會(huì)提交未經(jīng)篩選的安全態(tài)勢(shì)信息?
●CSO到底屬于管理角色、運(yùn)營(yíng)角色還是二者兼而有之?
雖然這份評(píng)估問(wèn)卷并不完整，但其中的問(wèn)題仍然帶來(lái)了一些發(fā)人深省的啟示，足以幫助大家考量自身的信息安全方案是否成熟。在對(duì)企業(yè)安全規(guī)范及流程的評(píng)估過(guò)程中，我們應(yīng)該重點(diǎn)權(quán)衡哪些因素?前面提到的風(fēng)險(xiǎn)承受能力、風(fēng)險(xiǎn)管理授權(quán)以及將未經(jīng)篩選的信息交付CEO及董事會(huì)等正是其中的原則性?xún)?nèi)容。只有將這些因素全部納入安全管理流程，企業(yè)才能真正有能力抵御安全威脅。而CSO也只有獲得了相應(yīng)的組織地位，方可與CEO或董事會(huì)進(jìn)行順暢交流，從而在攻擊活動(dòng)影響到企業(yè)之前就正確安排必要的應(yīng)對(duì)措施。
事實(shí)上，很多現(xiàn)任CSO雖然擁有這一頭銜、手中卻欠缺警示致命安全風(fēng)險(xiǎn)的話(huà)語(yǔ)權(quán)。另一種令人不安的趨勢(shì)在于，首席信息安全官的角色似乎被迫向管理方面傾斜。在這種情況下，CSO的定位會(huì)受到嚴(yán)重拖累而非促進(jìn)——這是因?yàn)镃SO此時(shí)恐怕僅能作為有一定影響力的評(píng)論者而非風(fēng)險(xiǎn)決策制定者。#p#
匯報(bào)關(guān)系的變化剝奪了CSO的實(shí)權(quán)
損害CSO權(quán)利的另一大因素在于上下級(jí)關(guān)系的變化。普華永道發(fā)布的最新年度安全報(bào)告中表明：過(guò)去三年中CSO逐漸由專(zhuān)門(mén)向CIO述職轉(zhuǎn)變?yōu)樾枰蚱髽I(yè)的其它各部門(mén)遞交報(bào)告。
這種趨勢(shì)讓人恐慌，因?yàn)镃SO只有作為IT部門(mén)的一分子才能更好地完成自身工作。盡管與整個(gè)企業(yè)各部門(mén)進(jìn)行互動(dòng)能夠開(kāi)闊視野、幫助CSO把握全局，但約有七成左右的信息安全問(wèn)題需要由IT部門(mén)來(lái)決定并監(jiān)控。
隨著CSO不再需要向CIO遞交報(bào)告，首席安全官的角色將逐步被排除在IT部門(mén)之外，并因此沒(méi)有機(jī)會(huì)參與到事件決策當(dāng)中，甚至很可能在戰(zhàn)略及技術(shù)規(guī)劃工作方面失去話(huà)語(yǔ)權(quán)。
向CIO直接報(bào)告的另一大重要作用在于，一旦CSO與CIO之間發(fā)生意義分歧，安全管理者必須有能力將問(wèn)題進(jìn)一步遞交至CEO或者董事會(huì)成員手中，從而保證實(shí)際方針與風(fēng)險(xiǎn)評(píng)估方針保持一致。再有，管理結(jié)構(gòu)中還存在另一種動(dòng)態(tài)制約手段，即企業(yè)預(yù)算。如果剝奪了CSO的運(yùn)營(yíng)職責(zé)與預(yù)算制定地位，那么安全部門(mén)的組織能力與影響能力必然受到嚴(yán)重打擊。
規(guī)模較大的企業(yè)，IT部門(mén)間的“圈地”活動(dòng)也不遺余力。首席信息安全官成為企業(yè)中的眾矢之的，各個(gè)部門(mén)都希望把安全職責(zé)劃分到自己的管理范疇當(dāng)中，這些職責(zé)包括隱私管理、合規(guī)性遵循、審計(jì)、應(yīng)用軟件開(kāi)發(fā)、網(wǎng)絡(luò)運(yùn)營(yíng)以及架構(gòu)組織等。大家可能不只一次的聽(tīng)說(shuō)過(guò)應(yīng)用程序開(kāi)發(fā)人員或IT運(yùn)營(yíng)管理員抱怨自己的日常工作受到安全規(guī)則或其它監(jiān)控工具的約束。抱怨多了，IT門(mén)外漢的企業(yè)領(lǐng)導(dǎo)者便認(rèn)為這些機(jī)制是多余的，但他們沒(méi)認(rèn)識(shí)到：CSO與安全機(jī)制的存在確實(shí)對(duì)威脅起到了很好的控制作用，一旦放開(kāi)、企業(yè)的安全機(jī)制將無(wú)法正常運(yùn)行。
所以，今天，許多CSO已經(jīng)開(kāi)始將“業(yè)務(wù)部門(mén)需求”作為自身工作的最佳擋箭牌。在四面楚歌之下，他們不得不將風(fēng)險(xiǎn)一股腦推給業(yè)務(wù)部門(mén)，自己則閑坐著喝茶看報(bào)。
事實(shí)上，更好的處理方式在于建立一套正規(guī)化的風(fēng)險(xiǎn)評(píng)估模式，指定董事會(huì)中的某一位成員為安全風(fēng)險(xiǎn)承擔(dān)職責(zé)。然而有多少企業(yè)能把風(fēng)險(xiǎn)承受能力提升至董事會(huì)或者CEO的高度?缺乏這些基礎(chǔ)措施，CSO才會(huì)舉步維艱甚至敷衍了事。#p#
還CSO的權(quán)利需要企業(yè)魄力
下面我們要談的內(nèi)容比較尖銳也的確如此，如今大部分企業(yè)都缺乏一種積極的進(jìn)取精神，我將其稱(chēng)為“企業(yè)魄力”。我們到底擁有一套有效的安全計(jì)劃、能幫助企業(yè)以正確方式處理風(fēng)險(xiǎn)?還是僅虛設(shè)一套名存實(shí)亡的安全規(guī)程、根本無(wú)法帶來(lái)實(shí)質(zhì)性作用與影響?要做到問(wèn)題的確切答案，企業(yè)需要拿出魄力與勇氣。幾乎沒(méi)有多少安全管理者有魄力站出來(lái)全力支持正確的處理方案，并強(qiáng)烈建議企業(yè)將其納入運(yùn)營(yíng)流程。面對(duì)如今這個(gè)威脅與風(fēng)險(xiǎn)空前高漲的時(shí)代，我們需要重新審視自己對(duì)于安全角色的定位。換言之，CSO只有獲得相應(yīng)的組織地位并擁有足夠的魄力才能對(duì)企業(yè)高管所不擅長(zhǎng)的風(fēng)險(xiǎn)決策提出質(zhì)疑。
時(shí)至今日，技術(shù)的不斷發(fā)展促進(jìn)了創(chuàng)新工作的提升，但同時(shí)也給安全提出了更多關(guān)于復(fù)雜性與安全性的難題。我們需要為CSO們提供其工作所必需的工具及資源，只有這樣才能使其職責(zé)得到真正貫徹。
很多企業(yè)已經(jīng)開(kāi)始積極應(yīng)對(duì)未來(lái)可能出現(xiàn)的挑戰(zhàn)，利用成熟的安全規(guī)程保證CSO能夠與CEO及董事會(huì)成員們進(jìn)行直接溝通、以自身組織影響力參與運(yùn)營(yíng)決策，從而真正讓企業(yè)步入安全發(fā)展的正軌。但遺憾的是，這些企業(yè)僅僅是行業(yè)中的特例，要真正使其成為普遍規(guī)則還有很長(zhǎng)的路要走。
本文題目：CSO角色定位尚不明晰實(shí)至名歸需企業(yè)魄力
標(biāo)題來(lái)源：http://www.fisionsoft.com.cn/article/dpcopih.html
