重新定义角色：什么造就了卓越的CISO

安全是每个人的责任，但作为CISO，这一切从你开始。

当今的首席信息安全官（CISO）需要平衡战略领导力、财务素养、技术专长和人际连接，无论公司规模是100人还是10万人。这个角色不再仅仅是防御边界，而是以清晰的思路、勇气和战略意图管理风险，同时推动业务向前发展并增强韧性。

经过多年的实战经验，我总结了成为高效CISO的真正要素。每个人的旅程都不同，每家公司也各异。你可能不需要所有这些建议，或者可能从所有建议中获得启发。

1. 理解你所保护的业务

你无法保护你不了解的东西。超越安全指标，学习真正驱动业务成功的因素。

• 公司如何运作和盈利？
• 销售周期是怎样的，一线发生了什么？
• 各部门如何协作？ 与团队分享你学到的东西，这将帮助他们看到更大的图景。

2. 在整个业务中建立桥梁

安全不是孤立的。与高管层和业务部门的关系至关重要。

• 信任是你的货币。它是随着时间的推移赢得的，尤其是在你协助处理"角色之外"的事情时。
• 定期与业务领导者进行1对1会议，了解他们的目标和挑战。
• 每月与非技术人员举行"CISO炉边谈话"，使安全人性化并听取反馈。
• 法律和隐私应该是你团队的延伸，包括外部顾问。

建立协作文化，而非控制文化

3. 成为领导者，而非管理者

你的人才是最宝贵的资产。保护、投资并赋能他们。

• 设定明确的护栏和目标，给团队空间找到最佳前进路径。
• 避免微观管理。如果你在管理任务，你就不是在领导人员。
• 雇佣优秀人才，然后信任并投资他们。
• 管理心理健康，不要等到事件发生才发现——那就太晚了。
• 保持好奇，而非评判。 成长来自于带着希望和责任领导。

4. 制定18-36个月战略，每季度重新审视

五年路线图很好……直到六个月后现实发生变化。相反，请执行以下操作：

• 使你的战略与组织战略保持一致；你需要展示如何支持业务目标。
• 制定一个滚动式的18-36个月战略，包含已知的成熟度差距。每90天重新评估以进行调整。
• 使用NIST网络安全框架等模型来合规并建立高管信任。
• 不要害怕新技术，创新并非始于创造。

战略不是静态的，让它演进和调整

5. 财务敏锐度

理解公司财务是不可协商的。如果你不能说CFO的语言，你将永远无法在决策桌上获得一席之地。

• 了解现金会计与权责发生制会计的区别。
• 知道何时资本化与费用化。
• 建立一个与业务目标一致的可辩护预算，而不是基于恐惧的叙述。
• 管理你的预算。除非需要，否则不要要钱。 了解组织财务机制的安全领导者是业务伙伴，而不是预算消耗者。

6. 保持信息灵通并投资你的网络

网络安全发展迅速，不要让头条新闻让你措手不及。

• 参加行业活动和会议，为了会议和关系建立。
• 安全领导者需要成为世界的学生，保持对新兴技术、地缘政治和威胁行为者趋势的了解。你的工作是预测，而不仅仅是反应。
• 尽可能指导他人。 通常，会议的价值来自对话，而不是主题演讲。在艰难的日子里，知道你可以打电话给谁比你的技术栈中的内容更重要。如果你知道同事正在经历事件，请伸出援手并关心他们。

7. 坦诚谈论风险，并建立韧性

董事会和高管不希望听到粉饰的更新。他们想要真相，以及一个计划。

• 对风险保持透明，即使这令人不适。但要带着建议出现。
• 在公司风险和个人暴露之间划清界限，然后不要跨越它们。
• 使用他们理解的语言和类比——说技术行话不会让你走得太远。
• 一切都基于风险和韧性；问自己"那又怎样"，因为他们会问。
• 在事件发生前阐明他们对事件的期望，你会很高兴你这样做了。 在安全领域，坏消息是不可避免的。定义你的是你如何处理它。

8. 数据是真正的风险

这意味着你的工作不仅仅是修补系统，而是保护、治理和去武器化敏感数据。

• 知道你的数据在哪里。
• 了解谁访问它以及为什么。
• 专注于以数据为中心的控制，而不仅仅是边界防御。
• 确保有韧性计划。 在混合云、人工智能和第三方蔓延的世界中，数据优先的安全战略不再是可选的，而是基础性的。

9. 报告和有意义的指标

董事会不想要轶事，他们想要可衡量的进展。使用你拥有的数据讲述一个故事。

• 报告与业务一致的指标。
• 展示你的计划如何降低风险暴露或提高韧性。翻译成高管语言：韧性、风险降低、业务连续性、声誉保护。
• CISO拥有分发的报告中的信息；确保你对所有报告都有监督。 数字不能取代讲故事，但它们赋予其可信度。

10. 拥有第三方和供应链风险

你的风险不会在你的基础设施结束时结束。第三方供应商和集成可能是你最薄弱的环节，并且可能比内部事件更具影响力。

• 在采购期间和违规后早期评估供应商。持续评估他们的安全状况。
• 包括合同安全要求（包括AI）和访问治理审查。
• 了解与第三方的连接——当新闻爆出事件时，这已经成功了一半。 你只和你最弱的伙伴一样强大。加强那条链。

11. 启用AI，但治理它

AI不再是炒作，它可以引入新的机会，但也带来风险。

• 与你的数据、法律和产品团队合作，指导安全的AI采用。
• 定义控制措施以防止数据泄漏、影子AI使用和模型滥用。
• 将AI治理视为你计划的一部分，而不是事后想法。 AI将重塑我们的运营方式。确保它不会错误地重塑你的风险状况。

最后思考

安全是每个人的责任，但作为CISO，这一切从你开始。 大胆领导。广泛思考。说业务的语言。保护你的人员。永远不要忘记使命：使你的组织能够在面对风险时蓬勃发展。