首页 > 安全治理 > CSO怎么做(2)理解企业信息安全工作的几种驱动方式
2018
04-18

CSO怎么做(2)理解企业信息安全工作的几种驱动方式

什么叫信息安全工作的驱动方式?就是回答一个企业为什么要做信息安全。正确理解一个企业为什么做信息安全,可以(1)知道这个企业的信息安全目标、重点是什么,知道为什么而战怎么战更重要;(2)找到一个最合理、最有效的方式来推动信息安全工作,同时也能够更好地达到信息安全工作目标、展现价值;(3)对CSO、信息安全从业人员的职业发展也是很重要的参考,知道这家企业是否适合自己、自己是否可以找到价值最大化的平台。

根据个人经验,我将企业信息安全工作驱动的方式归纳为4类:

1.      
事件驱动型

顾名思义,就是以被动响应为主的工作方式,通常指由于内部信息安全事件(诸如数据丢失或损坏、文档失窃、商业秘密被窃取、知识产权被侵犯、竞争对手的恶意破坏)、外部信息安全事件(诸如WiFi万能钥匙、勒索病毒爆发、斯诺登事件被披露),从而开展一系列安全建设动作。

2.      
合规驱动型

这个也很好理解,就是以满足外部规范、要求为主的工作方式,通常是根据外部规范、要求建立自身的信息安全管理体系,以达到规范要求为主要目的。

3.      
消费驱动型

没错,你没看错!就是以花预算为主的工作方式。通常是根据内外部规范、最佳实践和供应商推荐,制订年度规划和预算,开展信息安全建设。其主要目的是把今年的预算花完,明年才能够有足够的预算花,剩下的只要不出事就万事大吉。

4.      
业务驱动型

我原先把这种工作方式命名为“规划驱动型”,但是仔细研究后发现,“合规驱动型”和“消费驱动型”也可能形成明确的规划、并按照规划推进落实。斟酌之后,我调整为“业务驱动型”。常见的状态通常是这样的:(1)老板或业务部门重视;(2)通常以业务部门发起、提出安全改进需求,或以信息安全部门发起、调研业务部门并形成安全改进需求,且业务部门的安全改进需求是信息安全部门工作的主要内容,其改进效果也应该是信息安全部门绩效的主要输入源;(3)由于自身能力的问题,也可能会基于业务需求开展一些局部的、不系统的安全建设,甚至可能效果不好;(4)业务驱动型做得好,往往也会有合规驱动的工作形式和内容。

业务驱动下的信息安全目标,大致归纳为几种(1)保护商业秘密和自主知识产权不被窃取和破坏;(2)保护用户个人信息、数据和身份安全;(3)保护系统和应用的安全;(4)保护营销推广、交易、支付、营收等业务目标的达成,保护企业和个人的钱款,不被破坏、窃取、恶意利用。其中(4)被很多金融企业、互联网企业称为“业务安全”、“风控”,而我对“业务安全”的理解会更广,这个话题另文描述。

以下根据个人经验所知,不免有些偏颇,仅略做总结:

金融行业首先以合规驱动型为主,近些年随着金融监管的加强、攻击窃取事件的发生、对数据安全和个人信息保护的重视,正逐步迈向业务驱动型,优秀的金融单位已经显然是业务驱动型。其中,银行业成熟度最高,证券业其次,保险业最后。

互联网金融近年来蓬勃发展,但由于面临监管合规和持续盈利的压力,总体局面上处于合规驱动型+业务驱动型结合,不同企业根据投入、自身能力各有偏重。

国内的电商、社交、游戏行业,由于业务开展充分依托互联网,无论是要对抗入侵和攻击,还是要防范内部操作风险都是生死存亡的关口,因此以业务驱动型为主。

科技行业(包括了传统的生产制造企业,新经济形态下的生产制造+研发企业,非互联网的纯研发类企业)中分化显著。营收和利润已经达到一定规模、具备一定市场影响力的科技企业,如果在保护自主知识产权、商业秘密方面有原发的动力,会很快地进入业务驱动型。而如果缺乏足够的科研实力,也就缺少保护知识产权和商业秘密的动力,往往会以事件驱动型或合规驱动型为主,并且合规驱动的动力大多来自于大客户。

对于政府、事业单位、关键基础设施(水、电、气等)管理运营单位,即使在强力推进《网络安全法》和等保测评标准的今天,我也认为是消费驱动型为主,合规驱动+事件驱动为辅。说的不客气点,其实主要目标就是花钱、堆项目,顺带解决部分信息安全问题。个人经历所限,我所见的这些单位都在华南,本观点不针对全国。

运营商的信息安全,总体上我认为属于合规驱动型。

地产、商业集团,我也见过3-4个,比较难以理解他们的信息安全工作驱动力是啥,就不瞎说了。

你所在的企业,信息安全处于那种驱动方式?来聊一聊?

最后编辑:
作者:truebasic
这个作者貌似有点懒,什么都没有留下。

留下一个回复