隨著工作變得越來越復雜，CISO的角色也在不斷演變
首席信息安全官 (CISO) 被要求不僅要保護組織免受威脅，還要通過以安全的方式利用技術和數據來幫助企業實現其目標。
這種重心轉移要求 CISO 更好地了解業務并培養更強的溝通和協作技能。
CISO 在安全計劃基礎方面的專業知識已經得到認可，從基礎設施設計和控制實施到操作、威脅檢測和響應。
現在，CISO 必須為網絡安全定義連貫的業務案例，使網絡安全投資合理化，并以決策者可識別的方式展示該計劃的可衡量價值。
開發和交付網絡安全業務案例還可以促進強有力的協作、戰略規劃、項目監督和溝通技巧。
這意味著 CISO 還應致力于成為可靠的情報資源，能夠及時了解新興趨勢和公認的網絡安全實踐標準。
“除了技術和戰術能力外，企業還需要 CISO 成為值得信賴的風險治理顧問，”Coalfire 戰略、隱私和風險副總裁 Mike Eisenberg 補充道。
這包括建立和傳達目的和戰略、問責結構、計劃績效紀律和利益相關者參與。
他解釋說，通過將網絡安全與業務戰略（目標、必要條件、市場分析和資源規劃）結合起來，CISO 可以更好地就風險分析、流程改進、產品/服務創新和資源管理咨詢業務領導層。
在整個企業內建立新的合作伙伴關系
JupiterOne 的副 CISO Guillaume Ross 補充說，上市公司的 CISO 需要與總法律顧問和首席風險官建立良好的關系，而科技初創公司的 CISO 需要與工程領導建立良好的關系。
“隨著從云到托管服務的大量工作外包給供應商，供應商關系將繼續變得更加重要，”他說。
從他的角度來看，環境較新、員工較少的初創公司會尋找比 CISO 通常在技術上更親力親為的安全領導，而大公司會尋找具有重要商業頭腦的 CISO。
“我們將在一定規模的組織中看到更多業務部門級別的安全人員，代表他們自己業務領域的需求，”羅斯預測道。
Delinea 的 CISO Stan Black 同意 CISO 不再只負責 IT。
“現在我們的職責貫穿整個業務，”他解釋道。“我們與客戶供應鏈風險息息相關，因此我們能夠創造收入。我們與法律部門合作來識別和管理風險。”
通過使用第三方，CISO 的范圍擴大了，Black 說這就是為什么現在看到 CISO 坐在執行桌上，向董事會提供見解，并提供有助于將組織與競爭對手區分開來的附加值。
“CISO 必須了解客戶的挑戰和要求，并成為整個上市組織、合作伙伴和客戶本身的有力合作伙伴，”他補充道。
他說，培養這些技能的最佳方式是通過體驗、提出問題、傾聽客戶并向客戶學習、提供可操作且有價值的見解，以及成為值得信賴和可靠的資源。
專注于管理第三方關系
Eisenberg 同意 CISO 還應優先考慮與受信任的第三方組合的工作關系，以建議、補充和支持基本的程序功能。
他說：“隨著 CISO 提高領導力，專注于管理橫向關系和向上管理將有助于與其他職能部門的同事建立支持網絡，擴大他們的影響范圍和影響范圍。”
比以往任何時候都更重要的是與執行領導（包括董事會和業務線）、風險、財務和營銷的協作關系。
布萊克指出，隨著威脅的演變，已經出現了一系列新的安全領導角色。
“數據分析正試圖跟上攻擊的步伐，這是一項持續的挑戰，需要自動化超越人類速度分析并提供干凈的數據，然后對該數據進行風險排序以了解什么是‘好’以及如何最好地將時間花在潛力上不好，”他解釋道。
此外，現在廣泛的測試必須將多個團隊成員聚集在一起，包括那些傳統上不屬于這些流程的成員，并以包容性游戲化測試的方式進行，這樣每個參與的人都可以像不同的黑客一樣思考。
“我們的對手正在使用人工智能和機器學習工具，因此這是領導者必須通過使用 AI/ML 來阻止他們的速度和有效性來應對多向量攻擊的另一個領域，”他補充道。
CISO 角色與其他安全領導者一起演變
LARES Consulting 的 vCISO Darryl MacLeod 表示，對于 CISO 而言，最重要的關系包括與董事會、首席執行官和其他 C 級高管的關系。
“CISO 還應該與法律和合規團隊密切合作，以確保組織滿足其監管要求，”他說。“此外，CISO 還應該與組織中的其他安全領導者以及供應商和行業團體等外部合作伙伴建立牢固的關系。”
他指出，其他安全領導角色也在發生變化，包括首席安全官和首席隱私官，新角色不斷涌現，包括首席數據官和首席數字官。
MacLeod 表示，隨著 2023 年威脅形勢的發展，威脅的復雜性和復雜性將要求 CISO 更加主動地識別和緩解風險。
“數據隱私和監管合規的重要性日益增加，這將要求 CISO 更好地了解法律和監管環境，并能夠證明其遵守相關法律法規，”他說。
Eisenberg 補充說，加強對組織基本服務支出的審查將要求 CISO 對網絡安全戰略投資進行業務合理化，以應對網絡威脅對業務彈性的日益復雜性和速度。
“CISO 角色的影響力基于牢固的關系、計劃紀律和有效的消息傳遞，”他說。
