网络安全工作的悖论:预算越多,问题就越多

作者:星期五, 八月 18, 20170
分享:

为什么有些高管不愿意在安全上加大投入?因为在企业中,只有安全团队是一支“给的预算越多,发现问题就越多”的队伍。在WannaCry和NotPetya勒索软件肆虐之下仍有公司不愿投资安全,原因之一正在于此。

安全事件频现主流媒体头条,但是否有助于安全列入董事会议程的前列呢?

一家大银行的CISO曾表示,虽然自己已经是公司里向董事会做简报最多的人,但是讨论基本是从防护角度出发。“董事会只想知道怎样确保不受全球爆发和重大问题的侵扰”。

此外,安全驱动业务的观念,是否真得传达到并被董事会所接受?

我们都听说过安全作为业务驱动器的概念,但真的是这样吗?哪里体现出来了?给我点案例看看?安全是唯一一支当它要求更多预算的时候,反而给你更多问题的团队。在我担任CISO的时候,把钱投到安全工作上,结果就是更多人发现问题,产生更多警报。这是违反成本效益本质的,投入应该给公司带来经济收益。但在安全上,投入却是个无底洞。投入越多问题越多。

——迈克菲首席科学家拉杰·萨玛尼

难道就这样接受现状了吗?

实际上这里需要观念的转变,即只要董事会不再把安全看做独立的业务领域,而是将其视为公司各个组成部分的基础,安全是一个属性,上面的问题就都不存在了。

如何证明安全投入可帮助企业增加经济收益?回答好这个问题,就是向董事会证明安全价值的关键。

相关阅读

调查︱董事会常常指责IT团队在网络攻击后不作为
别再鼓吹神通广大的黑客了 只有务实才能让高管和董事会加大网络安全投入

 

分享:

相关文章

写一条评论

 

 

0条评论