悲催的CISO：数据泄露事故的替罪羊

根据ThreatTrackSecurity在2014年7月进行的一项调查报告称，在受访的203名美国C级高管中，74%认为CISO“不值得在董事会拥有一席之地，不应该成为企业领导团队的一部分”。这突出了这样的事实，即CISO主要被视为数据泄露事故发生时的替罪羊。

并非所有C级高管都享受平等的地位。根据CEO、执行董事会构成情况以及企业做生意的方式，C级高管的存在是为了支持业务，进行协作以及做出最佳决策以帮助企业确保生存能力、盈利能力和成功。

CISO是否“值得拥有一席之位”的问题并不是真正的问题。真正的问题在于，CISO是否可以向CEO以及业务高管提供正确水平的支持、指导和信息，让他们基于风险和安全作出明智的业务决策。与CIO、企业委员会、首席隐私官和首席审计师职位一样，CISO的存在部分在于向管理层提供专家级意见和建议。

有些C级高管职位作为非投票成员成为高管团队的一部分并不罕见。例如，首席审计师绝不应该成为高管团队的投票成员，但显然他们应该有“一席之地”。CIO和CISO也应该有一席之地，前提是他们不卑躬屈膝，并为业务决策增加价值。

如何成为更好的CISO

从C级高管来看，CISO怎样才能更加突出并获得更多责任呢？该调查称，74%的CISO不被其他C级高管所尊重，但还有另外26%则认为CISO是领导团队的积极成员。那么，这小部分的CISO是如何收获这种尊重的呢？他们是否在为企业增加价值呢？

事实上，CISO可以使用一定的策略来赢得高管团队更高水平的信任，并让CISO的职位得到更多重视和尊重。

• 使用以下三个标准来加强信息安全在企业内的重要性

合作排除恶性孤岛；
沟通很重要，但必须深刻、相关且自信；
动态平衡确保其贡献符合业务目标

• 确定可以捍卫CISO的贡献与参与的C级高管团队成员，与他或她交好、赢得其信任，并向其提供有见解的信息，以提高其可视性和信誉度。

• 对企业信息安全状态发布每月执行管理报告。使用图形、红黄绿色图标突触重点，并从成本、ROI、风险、增长和合规相关的业务方面来传达你的信息。

• 让业务经理有理由来称赞你的努力和价值。与关键业务管理人员会面，以更好地了解他们在信息安全、风险和合规方面的痛点，成为值得信赖的业务顾问。

• 随时掌握最新事件和新技术，特别是涉及到你企业所在行业。

• 在项目管理周期中嵌入信息安全，改变管理生命周期和信息管理过程。

• 聘请或培养对信息安全充满激情的模范员工。

• 成为你所在领域的杰出人物，让管理层注意到你的努力，不仅来自内部，还有企业外部。写文章，做信息安全讲座。参与专业机构以了解哪些做法可行以及哪些不可行。

结论

当然，还有其他方法可能更具体到你企业的企业文化、管理实践和业务目标。但最重要的是，不要闲着。不要等到其他C级高管要求你做出贡献，不要力求完美，而是追求卓越。如果你能这样做，你就不会被忽视。