網路安全領導力再思考

本文提供給董事會和長字輩高階主管一個架構，指出企業領導人促進網路安全必須做以下三件事情：設定你對網路安全策略的意向；妥善設定網路安全職能的定位，讓它發揮影響力；針對你的需求，任用適當的網路主管。這個架構有助於緩和企業風險、減少與法規監管機關的磨擦、為科技和安全設置護欄，並提高競爭優勢。

對今日的企業來說，網路風險無所不在。然而，企業雖然為了保障系統安全和保護顧客而做了許多投資，但仍很難讓網路安全成為策略、營運和文化裡的一個重要而積極的部分。根本原因有二：（1）網路安全被視為後勤工作；（2）大部分網路部門領導人都沒有足夠條件可發揮策略影響力。網路部門領導人的平均任期只有18個月，因此有些事情顯然必須要改變。

一直以來，企業都期望資訊安全長（Chief Information Security Officer, CISO）和安全長專注在技術性的工作，對他們沒有其他期待。網路領導人面對的艱巨而重大的目標，是要保障企業安全，但是當企業在做策略性的重大決策時，例如商業模式、數位策略、產品組合、併購等，都是在決策做成後才想到網路安全。這表示企業錯失了這個職能可以提供的價值（他們的情況與行銷長不同，有關行銷長的情況，請參見本刊文章〈行銷長為何總做不久〉）。

這種做法在過去還可以接受，因為那時的威脅比較緩慢，也較不複雜，但是現在這種做法已經不再足夠。今日的網路領導人必須能夠讓網路安全納入全公司營運的各個環節、迅速回應威脅，並影響高階主管同儕。簡單來說，他們必須能夠領導。這表示企業必須雇用、栽培能勝任這項工作的安全職能高階主管。