CISO

与预算紧缩和人员短缺作斗争，已然成为当下CISO面临的主要挑战之一。但无论CISO的安全预算富裕还是有限，节省资金，避免不必要的隐藏成本肯定是一个更好的选择。

本文让我们仔细看看安全领导者可以采取的四个关键步骤，以最大限度地提高安全投资回报。

在网络安全领域，首席信息安全官(CISO)的角色正经历着从单纯的技术专家向战略型商业伙伴的转变。随着网络威胁日益复杂，以及云计算等新兴技术的兴起，CISO的重要性将进一步提升，甚至有望取代首席信息官(CIO)成为企业IT掌舵人。

虽然持有多个安全认证并不是高级网络安全岗位（例如CISO）的硬指标，但一些顶级安全认证确实能为网络安全领导者的简历增光添彩，提高可信度并促进职业发展。

无数的CISO监管着大型和复杂的企业，这些企业管理着构成安全企业的所有活动，这些活动不仅涉及国防的技术方面。

权威式管理风格也叫指令式管理，需要CISO独立、果断地做出安全决策，并要求相关的团队成员都严格遵守指令。在很多强监管的金融机构中，CISO会经常采用权威式管理风格，从而确保组织能够遵守安全法规。

如果安全领导者想要在未来几年有机会捍卫或增加他们的预算，他们将需要用经验数据武装自己，并能够向那些掌握企业资金的人清楚地传达他们安全投资的商业价值。

网络安全文化促进网络安全成为实现组织总体使命的必要组成部分。事实上，研究显示，CISO认为网络安全文化与威胁预防、检测和响应方面的安全最佳实践有着不可阻挡的联系。

我们定期对CISO的有效性进行基准评估，大多数CISO自认为处于“风险决策所有者”或“值得信赖的促进者”阶段。大多数CISO已经不再仅仅是控制管理者，“价值创造者”的角色仍然很稀有。

全球各地的公司都在努力应对技术不断变化的影响，以及跟上网络安全能力不断发展的需要，这直接影响到已经在该行业工作的个人，以及公司在招聘下一位事件响应员、治理、风险和合规(GRC)专家以及安全运营中心(SOC)分析师时寻求的技能。

归根结底，安全团队的工作是回答监管机构、审计师、董事会和CISO提出的关于风险、攻击和合规状况的问题，例如，企业是否在所有终端上部署了终端检测和响应代理，如果存在缺口，它们在哪里?或者，黑客在网络上呆了多长时间，他们窃取了什么数据?

为了使I&T管理更加有效，必须扩大CIO的作用，这意味着在GRC领域获得更多的技能和责任，并从业务角度适当地关注控制而不是纯粹基于技术绩效。CIO必须是一个C级职位，即制定总体目标并拥有为实现这些目标而分配必要资源的权力的管理层。

研究发现，虽然69%的企业采用了GenAI工具，但46%的网络安全专业人员认为GenAI使企业更容易受到攻击，88%的CISO和安全负责人表示，武器化的AI攻击是不可避免的。

在当今复杂的威胁形势下，网络攻击不可避免，因为恶意攻击者变得越来越老练，以牟利为动机的攻击变得越来越普遍，新的恶意软件家族层出不穷，因此对各种规模的企业组织而言，提前制定好有效的攻击防范计划就显得尤为重要。

专业安全媒体CyberTalk.org主编Shira Landau日前表示：现代企业的CISO们在2024年必须做出改变，要更多关注于企业整体安全路线图的推进与实现，让网络安全工作与业务发展目标保持更紧密的一致性。