首席信息安全官CISO的挑战与责任

关键要点

CISO 面临着日益严峻的网络安全威胁和法律责任。新的证券交易委员会SEC网络安全披露要求增加了复杂性，让 CISO 的角色更加棘手。CISO 需要与高层管理团队建立更紧密的沟通与支持关系，以有效应对新要求。

首席信息安全官CISO的角色从未如此具有挑战性和备受关注。随着网络威胁的增加、法规的收紧和责任的加重，CISO 现在处于数字防御和公司问责的最前线。

海鸥加速器破解

例如，去年十月，美国证券交易委员会SEC控告 SolarWinds 及其 CISO 误导投资者有关网络安全实践和已知风险。这一案件突显了公司在网络安全方面的疏忽，同时也强调了一个令人担忧的趋势：CISO 在安全失败和信息披露方面的个人责任正在不断增加。

这样的法律行动无疑令 CISO 社区感到震惊，标志着数字保护失败可能对网络安全高管带来直接后果的转变。前 Uber 首席安全官 Joseph Sullivan 被定罪和罚款的事件进一步加剧了这些担忧，凸显了未能保护或充分报告网络安全事务的法律和潜在财务风险。

在这种背景下，2023 年末新出台的 SEC 网络安全披露要求为 CISO 的工作增添了新的复杂性。这些规定要求进行更详细的披露，增加了 CISO 加强防御和细致记录其网络安全策略及漏洞的压力。

意外后果

随着监管环境的收紧，CISO 正在进行一场微妙的平衡。其主要职责保护组织与管理个人责任紧密交织。这种双重负担可能导致意想不到的后果。

首先，在漏洞发生后自我保护的动机和激励可能促使 CISO 优先考虑快速解决方案，而非合作性、长期的改进，以防止未来事件的发生。这可能抑制网络安全知识的开放共享。

其次，员工在《虚假索赔法》等法律下报告不当行为的激励也随之增加。虽然这可能提高合规性，但却可能导致一种不信任的环境，从而削弱有效网络安全所需的团队合作。

这些因素使得 CISO 的角色变得不那么吸引人，可能使熟练的专业人士对这一领域产生畏惧，从而在长期内削弱行业的创新和保护能力。

SEC 规定进一步复杂化问题

新的 SEC 要求又给 CISO 的工作增添了困难，要求他们不仅要保护组织免受网络威胁，还要在复杂的监管环境中进行全面的报告和合规。

在这种背景下，CISO 需与董事会和首席执行官建立更强的对接关系。CISO 现在需要得到高层的全面支持和更好的沟通，以应对这些动荡的局势。公司需采取以下措施：

措施说明建立直接沟通渠道CISO 需要与高层管理直接讨论网络安全风险和策略的渠道。提供足够的资源在“用更少做更多”的时代中，公司必须确保在安全方面有足够的预算和资源。幸运的是，根据我们的调查，96的受访者表示其安全产品预算在过去一年有所增长，平均增长 22。提供新报告机制由于报告要求严格，建立促进超报告的协议以确保透明度至关重要。将安全融入企业文化安全必须是每个人的责任。培养一种重视和理解网络安全的文化，可以显著减少内部威胁。

CISO 的角色不断演变，现在需要适应新的安全挑战，并获得最高领导层的明确支持。通过积极应对这些挑战，董事会和首席执行官可以帮助 CISO 专注于他们最擅长的事情：保护他们的组织，从而促进更有韧性的企业基础设施，并与不断变化的监管环境保持一致。

Yoran Sirkis，Seemplicity 首席执行官