許多業(yè)務(wù)領(lǐng)導(dǎo)人仍然認(rèn)為只要投入足夠的資金并聘請(qǐng)合適的人員運(yùn)用正確的技術(shù)知識(shí)使他們避免成為頭條新聞，就可以解決網(wǎng)絡(luò)安全問(wèn)題。

事實(shí)上，使企業(yè)機(jī)構(gòu)暴露在網(wǎng)絡(luò)安全攻擊之下的往往是IT和非IT高管之間的系統(tǒng)性和文化問(wèn)題，而不是技術(shù)能力或資金問(wèn)題。

Gartner杰出研究副總裁Paul Proctor表示：“這些問(wèn)題讓首席信息官和首席信息安全官開始重新思考如何讓非IT高管優(yōu)先考慮安全事項(xiàng)。” 

您可以通過(guò)解決企業(yè)機(jī)構(gòu)內(nèi)部的這些主要失敗原因來(lái)減少網(wǎng)絡(luò)攻擊風(fēng)險(xiǎn)。

　　1. 無(wú)形的系統(tǒng)性風(fēng)險(xiǎn)

　　企業(yè)每天都會(huì)做出對(duì)其安全就緒性產(chǎn)生負(fù)面影響的決策：例如拒絕關(guān)閉服務(wù)器進(jìn)行適當(dāng)?shù)男扪a(bǔ)或選擇繼續(xù)使用舊的硬件和軟件以節(jié)省預(yù)算。這些未被報(bào)告的決策導(dǎo)致錯(cuò)誤的安全感并增加事件發(fā)生的可能性和嚴(yán)重性。行動(dòng)：將系統(tǒng)性風(fēng)險(xiǎn)的識(shí)別、報(bào)告和討論作為日常安全治理的一部分。

 2. 文化脫節(jié)

非IT高管仍然認(rèn)為安全像空氣或水一樣“理應(yīng)存在”。也就是說(shuō)，安全沒(méi)有被視為業(yè)務(wù)決策的一部分。例如，一個(gè)要求開發(fā)新應(yīng)用的企業(yè)領(lǐng)導(dǎo)人不可能將“安全就緒性”作為一項(xiàng)要求。行動(dòng)：將網(wǎng)絡(luò)安全放到業(yè)務(wù)環(huán)境中，使高管們能夠看到他們的決策所帶來(lái)的影響。

3. 花錢買出路

您無(wú)法“花錢買出路”——無(wú)論您花多少錢，都無(wú)法完全保護(hù)自己免受網(wǎng)絡(luò)攻擊。試圖阻止每一個(gè)風(fēng)險(xiǎn)活動(dòng)很可能會(huì)損害企業(yè)機(jī)構(gòu)的運(yùn)作能力。行動(dòng)：避免在安全方面過(guò)度投資，否則會(huì)提高運(yùn)營(yíng)成本，同時(shí)損害企業(yè)機(jī)構(gòu)實(shí)現(xiàn)業(yè)務(wù)成果的能力。

4. 將安全官視為“保護(hù)者”

 如果安全官被視為（并擔(dān)任）企業(yè)機(jī)構(gòu)的保護(hù)者，那么就會(huì)產(chǎn)生一種“拒絕”文化。例如他們可能會(huì)因?yàn)榘踩珕?wèn)題而阻止一個(gè)關(guān)鍵應(yīng)用的發(fā)布，而不考慮該應(yīng)用所支持的業(yè)務(wù)成果。行動(dòng)：將安全官的職能定位成平衡保護(hù)需求和業(yè)務(wù)經(jīng)營(yíng)需求。

5. 不健全的問(wèn)責(zé)制度

問(wèn)責(zé)制度應(yīng)使接受風(fēng)險(xiǎn)的決策能夠保護(hù)關(guān)鍵的利益相關(guān)者。如果問(wèn)責(zé)制度意味著一旦出了問(wèn)題，有人就會(huì)被解雇，那么就沒(méi)有人會(huì)參與。行動(dòng)：獎(jiǎng)勵(lì)能夠在保護(hù)需求和業(yè)務(wù)經(jīng)營(yíng)需求之間實(shí)現(xiàn)最佳平衡的人員。

6. 糟糕的風(fēng)險(xiǎn)偏好聲明

企業(yè)機(jī)構(gòu)所創(chuàng)建的通用高級(jí)別風(fēng)險(xiǎn)偏好聲明不支持良好的決策。應(yīng)避免承諾只從事低風(fēng)險(xiǎn)的活動(dòng)，否則可能造成無(wú)形的系統(tǒng)性風(fēng)險(xiǎn)。 行動(dòng)：創(chuàng)建允許在規(guī)定參數(shù)內(nèi)接受風(fēng)險(xiǎn)的機(jī)制。

7. 不切實(shí)際的社會(huì)期望

當(dāng)發(fā)生成為新聞焦點(diǎn)的安全事件時(shí)，社會(huì)只想看到“替罪羊”。雖然這并不公平，但這是幾十年來(lái)把安全問(wèn)題當(dāng)作一個(gè)“黑匣子”的結(jié)果。沒(méi)有人了解它的真正運(yùn)作方式，因此當(dāng)事件發(fā)生時(shí)，人們就會(huì)認(rèn)為一定是有人犯了錯(cuò)。但除非企業(yè)機(jī)構(gòu)和IT部門開始以不同的方式對(duì)待和談?wù)摪踩珕?wèn)題，否則社會(huì)就不會(huì)改變。 行動(dòng)：呼吁平衡保護(hù)需求和業(yè)務(wù)經(jīng)營(yíng)需求，而不是找人作替罪羊。

8. 缺乏透明度

一些董事會(huì)和高管人員根本不愿意聽到或承認(rèn)安全并不完善。董事會(huì)展示中充滿著關(guān)于安全方面已取得進(jìn)展的好消息，卻很少或幾乎不會(huì)討論差距和改進(jìn)機(jī)會(huì)。據(jù)我們所知，有一家公司甚至決定將安全問(wèn)題移交給法律顧問(wèn)，這樣就能對(duì)討論的內(nèi)容進(jìn)行保密。行動(dòng)：為了應(yīng)對(duì)這些挑戰(zhàn)，IT和非IT高管必須愿意了解和討論安全工作的現(xiàn)狀和局限性。