随着工作变得越来越复杂，CISO的角色也在不断演变

首席信息安全官 (CISO) 被要求不仅要保护组织免受威胁，还要通过以安全的方式利用技术和数据来帮助企业实现其目标。

这种重心转移要求 CISO 更好地了解业务并培养更强的沟通和协作技能。

CISO 在安全计划基础方面的专业知识已经得到认可，从基础设施设计和控制实施到操作、威胁检测和响应。

现在，CISO 必须为网络安全定义连贯的业务案例，使网络安全投资合理化，并以决策者可识别的方式展示该计划的可衡量价值。

开发和交付网络安全业务案例还可以促进强有力的协作、战略规划、项目监督和沟通技巧。

这意味着 CISO 还应致力于成为可靠的情报资源，能够及时了解新兴趋势和公认的网络安全实践标准。

“除了技术和战术能力外，企业还需要 CISO 成为值得信赖的风险治理顾问，”Coalfire 战略、隐私和风险副总裁 Mike Eisenberg 补充道。

这包括建立和传达目的和战略、问责结构、计划绩效纪律和利益相关者参与。

他解释说，通过将网络安全与业务战略（目标、必要条件、市场分析和资源规划）结合起来，CISO 可以更好地就风险分析、流程改进、产品/服务创新和资源管理咨询业务领导层。

在整个企业内建立新的合作伙伴关系

JupiterOne 的副 CISO Guillaume Ross 补充说，上市公司的 CISO 需要与总法律顾问和首席风险官建立良好的关系，而科技初创公司的 CISO 需要与工程领导建立良好的关系。

“随着从云到托管服务的大量工作外包给供应商，供应商关系将继续变得更加重要，”他说。

从他的角度来看，环境较新、员工较少的初创公司会寻找比 CISO 通常在技术上更亲力亲为的安全领导，而大公司会寻找具有重要商业头脑的 CISO。

“我们将在一定规模的组织中看到更多业务部门级别的安全人员，代表他们自己业务领域的需求，”罗斯预测道。

Delinea 的 CISO Stan Black 同意 CISO 不再只负责 IT。

“现在我们的职责贯穿整个业务，”他解释道。“我们与客户供应链风险息息相关，因此我们能够创造收入。我们与法律部门合作来识别和管理风险。”

通过使用第三方，CISO 的范围扩大了，Black 说这就是为什么现在看到 CISO 坐在执行桌上，向董事会提供见解，并提供有助于将组织与竞争对手区分开来的附加值。

“CISO 必须了解客户的挑战和要求，并成为整个上市组织、合作伙伴和客户本身的有力合作伙伴，”他补充道。

他说，培养这些技能的最佳方式是通过体验、提出问题、倾听客户并向客户学习、提供可操作且有价值的见解，以及成为值得信赖和可靠的资源。

专注于管理第三方关系

Eisenberg 同意 CISO 还应优先考虑与受信任的第三方组合的工作关系，以建议、补充和支持基本的程序功能。

他说：“随着 CISO 提高领导力，专注于管理横向关系和向上管理将有助于与其他职能部门的同事建立支持网络，扩大他们的影响范围和影响范围。”

比以往任何时候都更重要的是与执行领导（包括董事会和业务线）、风险、财务和营销的协作关系。

布莱克指出，随着威胁的演变，已经出现了一系列新的安全领导角色。

“数据分析正试图跟上攻击的步伐，这是一项持续的挑战，需要自动化超越人类速度分析并提供干净的数据，然后对该数据进行风险排序以了解什么是‘好’以及如何最好地将时间花在潜力上不好，”他解释道。

此外，现在广泛的测试必须将多个团队成员聚集在一起，包括那些传统上不属于这些流程的成员，并以包容性游戏化测试的方式进行，这样每个参与的人都可以像不同的黑客一样思考。

“我们的对手正在使用人工智能和机器学习工具，因此这是领导者必须通过使用 AI/ML 来阻止他们的速度和有效性来应对多向量攻击的另一个领域，”他补充道。

CISO 角色与其他安全领导者一起演变

LARES Consulting 的 vCISO Darryl MacLeod 表示，对于 CISO 而言，最重要的关系包括与董事会、首席执行官和其他 C 级高管的关系。

“CISO 还应该与法律和合规团队密切合作，以确保组织满足其监管要求，”他说。“此外，CISO 还应该与组织中的其他安全领导者以及供应商和行业团体等外部合作伙伴建立牢固的关系。”

他指出，其他安全领导角色也在发生变化，包括首席安全官和首席隐私官，新角色不断涌现，包括首席数据官和首席数字官。

MacLeod 表示，随着 2023 年威胁形势的发展，威胁的复杂性和复杂性将要求 CISO 更加主动地识别和缓解风险。

“数据隐私和监管合规的重要性日益增加，这将要求 CISO 更好地了解法律和监管环境，并能够证明其遵守相关法律法规，”他说。

Eisenberg 补充说，加强对组织基本服务支出的审查将要求 CISO 对网络安全战略投资进行业务合理化，以应对网络威胁对业务弹性的日益复杂性和速度。

“CISO 角色的影响力基于牢固的关系、计划纪律和有效的消息传递，”他说。