埃贡·Zehnder（Egon Zehnder）最近在香港举行了网络安全圆桌讨论，由我们的技术官员和金融科技实践的顾问Richard Lin和Matthew Edwards主持。乐动帕洛阿尔托网络亚洲首席安全官肖恩·杜卡（Sean Duca）以及领先的金融服务，电信，消费者，运输和政府组织的十二个首席执行官，CIO和CIOS的CIOS，CIOS和CIOS也加入了我们的行列。我们享受了与所有网络安全有关的思想，见解和最佳实践的深入讨论和开放交流。我们分享了以下最重要的收获：
网络安全意识和教育
网络攻击的频率，复杂性和影响力正在增长。除了挑战之外，员工对网络攻击的尝试不谨慎，并将自己暴露于网络钓鱼，密码盗窃和其他入侵中。因此，教育员工以提高认识和警惕至关重要。在我们的讨论中，小组成员描述了他们在公司中采用的一些最佳实践，例如对数据安全进行定期培训，并通过模拟攻击对员工进行测试。在某些情况下，这种做法是如此认真，以至于反复对模拟攻击做出适当反应的员工受到谴责，有时甚至被终止。
情报分享及其挑战
尽管小组成员普遍同意，有关网络攻击及其可能预防的信息共享是增强行业国防措施的重要方法，但很明显，挑战仍然存在。一个明确的观察结果是，网络攻击的各种肇事者通常比其攻击目标的行业更加协调。这是因为行业参与者之间的竞争和害怕泄露媒体攻击的消息。
我们的参与者指出，根据董事会的合作程度，首席执行官和CIO可能会认为，分享攻击信息的短期声誉风险超过了更透明的潜在长期收益。在行业同行中，尤其是在客户机密性至关重要的财务直觉中，信任可能尤其难以建立。尽管如此，总体同意，从业者可以并且应该更好地共享信息，并建议通过政府法规的支持可以提供帮助。
提高管理层对网络安全风险的认识
数据保护最终可帮助企业降低风险。与几年前相比，C级高管和董事会之间对网络安全的认识显然发生了变化。但是，组织之间有不同水平的理解水平。一些与会者在晚上睡得很好，知道有效的网络安全投资和政策已经存在。其他与会者指出，CIO仍然需要花费很大一部分时间来提高组织内部的认识，以便整个管理团队完全赞赏IT安全的重要性，并具有适当的预算和人数。
第三方服务提供商和承包商
一些公司可能会意识到，他们无法以与整体业务发展的相同速度增长其内部IT功能。因此，他们使用第三方来补充能力和控制成本。这可能导致数据风险超出了公司的控制。尽管可以制定合同和政策来减轻这些风险，但实际上，通过承包商维持适当的网络安全标准存在挑战。建立信任至关重要 - 以及具有合理的法律框架。
数据保护措施
攻击的模式本质上可以是随机的，并由个人，团体或民族国家发起。除了建立强大的防御能力外，一些公司还采取了积极主动的举措，例如创建“蜂蜜罐”以吸引黑客进入他们的网络，以便更好地理解和学习其策略，因此避免了未来的尝试。与会者分享了有关网络攻击甚至是由一个令人难以置信的公共新闻造成的例子，这些新闻可能鼓励不满或激进的网络犯罪分子发动攻击。
CISO报告行
这取决于行业的性质和业务规模。在某些情况下，CIO也是事实上的CISO，并直接向首席执行官报告。这在技术和金融行业中尤为普遍，因为对高级网络安全的需求更为明显。在其他一些组织中，CIO或CISO可能会向COO或CFO报告，并点虚线向CEO。尽管如此，其他组织仍强调了网络安全的法律含义，CISO向首席法律官长委员会报告。较小的企业可以将CIO，CISO和CTO角色结合在一起。看来最重要的是CISO功能在组织的顶部发表强烈的声音，因为网络安全成为需要战略性而不是财务监督的更大问题。
法律和法规框架
香港法律不需要公司分享有关网络安全以及相关网络安全及其基础设施立法的太多信息。这是可以改进的。小组成员同意，一个很好的例子是新加坡，政府和立法者在这里建立了一个强大的网络安全框架。
埃贡·Zehnder的拍摄
尽管在大多数组织中，事实上的网络安全领导力继续归属于CIO组织，但CISO功能远远超出了仅仅是“机架和堆栈”的领域。要面对越来越复杂的网络安全挑战，CIO或CISO不仅必须理解和解决技术问题，而且至关重要的是，必须是业务领导者，在影响组织的广泛文化方面非常有效。结果，我们对网络安全领导才能的评估越来越集中在那些可以采取整体网络安全方法的人上，将其视为涉及文化，实践和人民的更广泛的商业问题此外进入技术。因此，我们认为，查看好奇心，学习取向，洞察力和参与方面的潜在驱动因素至关重要，以选择网络安全领导者来应对未来的挑战。
