企業安全的大環境

根據企業或組織的不同規模，對企業信息安全的發展最具影響力的人物一般都是C級高管（CEO、CTO、CFO或COO等等）或董事會成員。不過在很多規模較小的組織中，負責信息安全保護任務的很可能會是非管理層的人員，而且有時這個重任甚至全部都壓在了某一位IT員工的身上。

無論負責企業安全管理工作的人是誰，任何一個企業或組織不僅要將信息安全方面必要的投入成本加入預算之中，而且還要讓“信息安全”成為企業文化的一部分。

信息安全公司Rapid7的副總裁Josh Feinblum認為：

“企業或組織之所以會認真考慮信息安全問題，主要有兩個原因。其一，這個組織有一個極具前瞻力的領導團隊，他們認為信息安全非常重要。其二，這個公司曾經發生過嚴重的安全事件。”

在大多數情況下，無論你職位有多高資歷有多深，你的影響力永遠無法與一次嚴重的安全事件相提并論。但是隨著時間的推移，很多企業高管現在也希望這種情況能夠得到改變。除了公司內部對信息安全的要求之外，公司其他的合作方也會要求他們在安全檢測和災難應急響應上面下功夫，所以現在的情況也許并沒有我們想象中的那么糟糕。

驅動企業安全發展的因素

實際上，讓企業的信息安全不斷發展的驅動力往往來自于外部，而非企業的內部，尤其是在企業面臨并購或合作的時候。因為很多時候對方公司都會說：“如果你們能夠在接下來的半年內解決安全問題的話，我們就可以繼續合作下去。”

ISSA高級成員兼ISACA董事會成員Darrell Drystek表示：

“引起安全問題的根本原因是企業管理上的失敗。這是一個企業管理方面的問題，而不是一個技術問題。”

在一個組織中，只有當領導層真正認為對企業影響最大的因素是信息安全時，我們才有可能朝著安全的方向繼續前行。如果他們認為信息安全并不重要，那么他們就不會把安全放在優先考慮的位置，那么作為安全團隊的我們也將會舉步維艱。

為了驅動企業的信息安全發展，公司里必須有一個能夠代表“信息安全”發出強有力聲音的人。這個人既可以是公司的首席信息安全官（CISO），也可以是一名高級安全專家，但他必須是一個務實的人。

對于某些小型企業而言，信息安全則是一個不小的挑戰。Tycoon的首席技術官TravisRosiek表示：

“對于小型企業的高管而言，他們的工作就是如何有效地消減預算開支。這些小型組織的人手不夠，可用預算也非常少。那么在資源有限的情況下，他們必須保證企業能夠給用戶提供正常的服務，公司的網絡系統能夠正常運轉。只有在完成這些任務之后，他們才會去考慮安全方面的問題。不過小型組織在某些方面也是有優勢的，在小型企業中，信息技術部門和安全團隊之間的聯系是非常緊密的。當某些安全危機或可疑事件發生時，他們可以立刻展開密切的合作來解決問題。現在越來越多的公司也開始意識到，任何人都有可能是黑客的攻擊目標。不過，仍然有很多組織依舊天真地認為他們不會遭到黑客的攻擊。”

安全對于企業的重要性不言而喻

怎樣才算一個成熟的企業呢？當一個企業擁有一位有遠見的CISO或CIO時，這個企業才有可能進步，才有可能變得更加成熟。Rosiek認為：“從一個成熟的角度來看，當公司中的CISO可以直接向CIO報告工作情況，并且董事會愿意花時間去聽他們做報告時，這個組織的信息安全才會進步，而這類組織絕對是將安全放在優先位置的。”

換句話來說，如果這名CISO在企業內等級很低且在安全方面沒有任何遠見的話，那么他們在申請預算的時候可能就會遇到很大的麻煩了。正因如此，如果企業真的想在信息安全方面得到發展和進步的話，必須要讓企業負責安全的人直接與高層決策者溝通。

無論你是財富五百強企業（由《財富》雜志評選），或是一家中等或小型規模的公司，你都需要讓企業的決策者去決定如何處理當前存在的安全問題。但是安全團隊必須要明確地指出當前存在的安全問題以及有可能會面臨的安全風險，而是否采取行動則取決于企業的決策者，因為他們才是安全風險的直接承擔者。

Vectra Networks的首席執行官Hitesh Sheth在接受采訪時表示：

“在很多規模較大的企業中，首席信息安全官（CISO）既要負責安全策略的制定，又要負責向上級申請預算。在財富五十強企業中我們經常會看到，CISO往往需要參與多項工作，而且這些企業的董事會同樣也會加入進來，因為“信息安全”已經成為了董事會經常需要討論的話題。隨著更多的利益相關者參與進來，企業安全團隊的預算空間也就會更大，這會迫使每一個人站在更高的角度去思考安全問題。”

大家都需要安全感，但又有多少人會真正地去思考安全問題呢？Drystek表示：“我們作為信息安全行業的一員，我們有責任也有義務讓用戶通過最簡單的方法去保護信息的安全，我們要培養他們對安全的敏感程度，我們要讓他們知道數據真正的價值所在。”

我們要讓企業的決策者明白，這些安全風險將會直接影響到企業的效益，只有部署復雜的安全保護程序才可以為企業的發展鋪平道路。實際上，除了CISO和CIO之外，影響企業安全進步的最大因素就是管理層對安全的觀念和理解。