確保網(wǎng)絡(luò)安全投資不僅僅關(guān)乎數(shù)字運(yùn)算，更在于培養(yǎng)跨職能關(guān)系。對(duì)于CISO而言，爭(zhēng)取關(guān)鍵利益相關(guān)者的支持將有助于獲得關(guān)鍵資金。

在確保網(wǎng)絡(luò)安全投資方面，有許多因素在起作用。關(guān)鍵往往在于CISO能否與企業(yè)內(nèi)的關(guān)鍵利益相關(guān)者建立關(guān)系，然而，CISO們面臨著在預(yù)算有限的情況下保護(hù)企業(yè)的任務(wù)。

盡管近三分之二的CISO報(bào)告稱預(yù)算有所增加，但根據(jù)IANS 2024年安全預(yù)算基準(zhǔn)摘要報(bào)告，今年的平均資金增幅僅為8%，遠(yuǎn)低于前一年的增長(zhǎng)水平。

在預(yù)算受限的情況下，CISO能否獲得足夠的資金取決于他們?cè)谄髽I(yè)內(nèi)的影響力和聲譽(yù)。與關(guān)鍵業(yè)務(wù)領(lǐng)導(dǎo)者建立牢固關(guān)系對(duì)于實(shí)現(xiàn)預(yù)算目標(biāo)至關(guān)重要。

從開(kāi)發(fā)人員到首席財(cái)務(wù)官：如何建立信任

TriNetX的CISO Erica Antos非常重視建立強(qiáng)大的跨職能合作伙伴關(guān)系，這些關(guān)系不僅能推動(dòng)安全舉措，還能與企業(yè)的整體目標(biāo)保持一致。她認(rèn)為，相鄰的業(yè)務(wù)職能是合作與協(xié)同的重要伙伴。

在她的工作中，這包括了解首席財(cái)務(wù)官的優(yōu)先事項(xiàng)，與法律部門合作確保滿足數(shù)據(jù)保護(hù)要求，并與IT和工程部門緊密合作，使安全工具與更廣泛的企業(yè)需求相契合。“你需要了解他們的目標(biāo)是什么，并找出安全部門也能使用的、有助于實(shí)現(xiàn)雙方目標(biāo)的工具。”Antos說(shuō)道。

例如，零信任解決方案將有助于IT部門實(shí)現(xiàn)網(wǎng)絡(luò)訪問(wèn)的現(xiàn)代化，并消除對(duì)VPN的需求。隱私要求可能涉及總法律顧問(wèn)和通過(guò)數(shù)據(jù)保護(hù)實(shí)現(xiàn)的安全。為此，她建議與法律部門溝通他們的需求，以及安全部門能否提供任何工具來(lái)幫助他們實(shí)現(xiàn)目標(biāo)。

在其他情況下，這可能涉及工程部門，與開(kāi)發(fā)人員合作，并與首席技術(shù)官就代碼審查或安全警報(bào)等事項(xiàng)進(jìn)行溝通。“你可以采用安全部門可能使用的安全事件信息管理系統(tǒng)解決方案，該解決方案也可以進(jìn)行部署，以幫助工程團(tuán)隊(duì)。”她告訴記者。

當(dāng)然，與財(cái)務(wù)部門建立良好的關(guān)系至關(guān)重要，這包括了解他們的目標(biāo)，并展示安全舉措如何有助于實(shí)現(xiàn)這些目標(biāo)或節(jié)約成本。

“這可能不是與財(cái)務(wù)部門合作部署某種工具或?yàn)槟呈聽(tīng)?zhēng)取預(yù)算，而是展示效率，或部署某些工具如何節(jié)省X美元。”Antos說(shuō)道。

CISO的匯報(bào)線對(duì)預(yù)算和關(guān)系的影響

CISO基于其匯報(bào)線與某些利益相關(guān)者的親近程度，也會(huì)影響他們與關(guān)鍵業(yè)務(wù)領(lǐng)導(dǎo)者保持一致的能力。CISO向首席財(cái)務(wù)官、CIO或直接向首席執(zhí)行官匯報(bào)，都會(huì)影響他們?nèi)绾未_定安全需求的優(yōu)先級(jí)、如何溝通安全需求，以及最終他們獲得額外資金支持的速度。

“這可以指導(dǎo)日常互動(dòng)，建立關(guān)系，幫助他們了解自己所在團(tuán)隊(duì)的需求，并能夠更快地保持一致。”Antos說(shuō)道。

Antos認(rèn)為，如果這迫使CISO了解企業(yè)運(yùn)作的業(yè)務(wù)方面，那將是有幫助的。“這是從業(yè)務(wù)角度思考效率，而不是純粹從技術(shù)角度思考。”她說(shuō)道。

反過(guò)來(lái)，應(yīng)用業(yè)務(wù)思維有助于CISO實(shí)現(xiàn)預(yù)算目標(biāo)，并在日常安全運(yùn)營(yíng)與包括董事會(huì)在內(nèi)的領(lǐng)導(dǎo)層的戰(zhàn)略目標(biāo)和優(yōu)先事項(xiàng)保持同步時(shí)獲得更大的滿意度。根據(jù)IANS報(bào)告，當(dāng)從業(yè)務(wù)風(fēng)險(xiǎn)的角度考慮安全計(jì)劃時(shí)，領(lǐng)導(dǎo)這些計(jì)劃的CISO更有可能對(duì)預(yù)算感到滿意。

然而，安永(EY)全球及亞太區(qū)網(wǎng)絡(luò)安全咨詢負(fù)責(zé)人Richard Watson表示，在實(shí)際操作中，CISO可能會(huì)發(fā)現(xiàn)自己面臨一個(gè)關(guān)鍵的悖論。一方面，董事會(huì)可能表示對(duì)網(wǎng)絡(luò)風(fēng)險(xiǎn)的興趣不大，但另一方面，管理層可能會(huì)說(shuō)需要削減一定比例的預(yù)算。“這些幾乎是無(wú)法調(diào)和的立場(chǎng)，但我看到許多CISO正在為這一悖論而掙扎。”Watson說(shuō)道。

雖然首席財(cái)務(wù)官因其預(yù)算管理角色而成為關(guān)鍵利益相關(guān)者，但在這種情況下，Watson表示，CISO重要的是要突出這些相互矛盾的目標(biāo)，并尋求天然盟友的幫助，以爭(zhēng)取對(duì)預(yù)算的支持。

他建議，CISO可以與審計(jì)風(fēng)險(xiǎn)委員會(huì)主席溝通，解釋這一悖論，因?yàn)槿绻芾韺硬宦暶髌溥\(yùn)營(yíng)方式正在限制預(yù)算，董事會(huì)可能并不總是能看到這一點(diǎn)。“如果與審計(jì)風(fēng)險(xiǎn)委員會(huì)主席溝通，這可以幫助CISO證明進(jìn)一步增加預(yù)算的合理性，或者為什么保持預(yù)算不變、不削減資金是一項(xiàng)要求。”他告訴記者。

在更廣泛的企業(yè)內(nèi)保持可見(jiàn)度

IANS報(bào)告指出，對(duì)預(yù)算滿意的CISO通常在領(lǐng)導(dǎo)層中具有可見(jiàn)度和可信度，參與風(fēng)險(xiǎn)管理討論，并向董事會(huì)提供項(xiàng)目指標(biāo)，該報(bào)告建議，CISO必須在更廣泛的企業(yè)內(nèi)保持可見(jiàn)度并積極參與，同時(shí)圍繞業(yè)務(wù)風(fēng)險(xiǎn)而非技術(shù)控制來(lái)構(gòu)建對(duì)話框架。

Watson同意，為了成功駕馭有影響力的、與資金相關(guān)的關(guān)系，CISO需要在更大企業(yè)范圍內(nèi)超越網(wǎng)絡(luò)和IT職能，提高自己的可見(jiàn)度。“他們可能從技術(shù)崗位起家，但要擴(kuò)展到IT部門之外，他們就需要被視為業(yè)務(wù)伙伴和業(yè)務(wù)顧問(wèn)。”Watson說(shuō)道。

如Smartsheet的CISO Chris Peake所指出的，這不僅僅是關(guān)于CISO的可見(jiàn)度——而是幫助企業(yè)了解其面臨的網(wǎng)絡(luò)安全威脅的范圍。目標(biāo)是為圍繞優(yōu)先事項(xiàng)以及因此而產(chǎn)生的資金和預(yù)算決策提供背景。

“如果安全要成為業(yè)務(wù)的推動(dòng)者，那么不僅僅是CISO和安全計(jì)劃需要可見(jiàn)度;威脅格局也需要對(duì)每個(gè)人都清晰明了。”Peake說(shuō)道。

CISO的角色是在整個(gè)企業(yè)內(nèi)廣泛傳達(dá)這一信息，包括向高管層和董事會(huì)傳達(dá)，并將其與整體業(yè)務(wù)目標(biāo)相一致。“企業(yè)的其他部門需要了解他們正面臨什么，這有助于他們?yōu)闆Q定優(yōu)先事項(xiàng)提供背景。”Peake說(shuō)道。

雖然CISO熟練掌握財(cái)務(wù)知識(shí)并不總是自然而然的事情，但隨著更多對(duì)話開(kāi)始考慮業(yè)務(wù)的財(cái)務(wù)方面，這一情況正在改變。“我的大多數(shù)同行都在討論預(yù)算，以及我們?nèi)绾螢樾录夹g(shù)融入企業(yè)提供資金和支持。”他說(shuō)道。

像GenAI這樣的新技術(shù)開(kāi)辟了新的威脅載體，也引發(fā)了一些關(guān)于預(yù)算的對(duì)話，因?yàn)樗鼈冃枰顿Y來(lái)管理和保障安全。“它們可能需要資源，這就需要我們?cè)谌绾尾渴瓞F(xiàn)有工具方面采取新的視角。”他說(shuō)道。

盡管如此，在某些情況下，CISO在爭(zhēng)取某些項(xiàng)目獲得優(yōu)先考慮時(shí)會(huì)面臨挑戰(zhàn)，從而阻礙預(yù)算決策。

Antos表示，與關(guān)鍵利益相關(guān)者沒(méi)有關(guān)系，甚至關(guān)系緊張，都會(huì)產(chǎn)生原本不存在的障礙。“這可能導(dǎo)致對(duì)安全團(tuán)隊(duì)試圖做的事情產(chǎn)生誤解，或?qū)е洛e(cuò)誤的假設(shè)、誤解或溝通不暢。”她說(shuō)道。

這些可能會(huì)阻礙預(yù)算分配，并導(dǎo)致解決方案或倡議從優(yōu)先事項(xiàng)列表中掉落，這強(qiáng)調(diào)了對(duì)項(xiàng)目重要性達(dá)成共識(shí)的重要性，這需要建設(shè)性的關(guān)系和一致的優(yōu)先事項(xiàng)。

“很多時(shí)候，安全部門的工作是由其他團(tuán)隊(duì)實(shí)施的，比如工程團(tuán)隊(duì)、開(kāi)發(fā)人員或IT部門，因此，無(wú)論你想實(shí)施什么，都需要將其納入他們的工作隊(duì)列中作為優(yōu)先事項(xiàng)。”她說(shuō)道。

財(cái)務(wù)素養(yǎng)是影響資金關(guān)系的基礎(chǔ)

Watson表示，隨著企業(yè)面臨財(cái)務(wù)逆風(fēng)，這給CISO帶來(lái)了更大壓力，要求他們向包括首席財(cái)務(wù)官、首席執(zhí)行官和董事會(huì)在內(nèi)的利益相關(guān)者證明其預(yù)算的合理性。“此外，美國(guó)證券交易委員會(huì)(SEC)披露的新要求正推動(dòng)人們高度關(guān)注網(wǎng)絡(luò)風(fēng)險(xiǎn)量化，因?yàn)橹匾砸殉蔀橐粋€(gè)真正關(guān)鍵的因素。”他說(shuō)道。

為了有力地應(yīng)對(duì)這些挑戰(zhàn)，CISO需要將網(wǎng)絡(luò)風(fēng)險(xiǎn)與預(yù)算聯(lián)系起來(lái)，這就是為什么網(wǎng)絡(luò)風(fēng)險(xiǎn)量化工具對(duì)于他們構(gòu)建有力的商業(yè)案例變得越來(lái)越重要。

“你如何證明某件事是否重要?你需要一個(gè)數(shù)學(xué)公式來(lái)做到這一點(diǎn)。網(wǎng)絡(luò)風(fēng)險(xiǎn)量化現(xiàn)在正在企業(yè)內(nèi)掀起一股熱潮，這既是藝術(shù)也是科學(xué)。”他說(shuō)道。

對(duì)于小型企業(yè)以及那些沒(méi)有聘請(qǐng)咨詢公司的企業(yè)，Antos建議他們利用ISACA或IANS的工具和資源來(lái)構(gòu)建風(fēng)險(xiǎn)分析和預(yù)算編制流程。“這些工具提供了指導(dǎo)和材料，幫助安全團(tuán)隊(duì)在內(nèi)部培養(yǎng)必要的財(cái)務(wù)素養(yǎng)和預(yù)算編制流程。”她說(shuō)道。

ISACA的能力成熟度模型集成(CMMI)框架有助于成本控制和基于風(fēng)險(xiǎn)的預(yù)算編制策略。根據(jù)2023年CMMI技術(shù)報(bào)告，使用該框架的企業(yè)成本差異減少了47%。

對(duì)于Antos而言，信息系統(tǒng)和會(huì)計(jì)學(xué)的學(xué)位有助于她彌合CISO角色中的技術(shù)和財(cái)務(wù)方面，她強(qiáng)調(diào)，了解財(cái)務(wù)語(yǔ)言并傳達(dá)安全投資的業(yè)務(wù)價(jià)值，可以顯著增強(qiáng)CISO在談判預(yù)算時(shí)的地位。

對(duì)于CISO而言，財(cái)務(wù)素養(yǎng)不再是可選的——它是與利益相關(guān)者互動(dòng)并為安全投資構(gòu)建商業(yè)案例所必需的。

了解預(yù)算編制流程并傳達(dá)安全的業(yè)務(wù)價(jià)值，使CISO能夠彌合技術(shù)要求和企業(yè)優(yōu)先事項(xiàng)之間的差距，確保他們獲得所需的資源。

在實(shí)際操作中，關(guān)于安全需求的對(duì)話，特別是涉及大型項(xiàng)目時(shí)，需要盡早開(kāi)始，并解釋它將如何影響業(yè)務(wù)。

“提前準(zhǔn)備好所有這些要比在預(yù)算編制過(guò)程中嘗試做這件事容易得多。”她說(shuō)道。