近期，，，，，，，“300万年薪招不到胜任首席安全官”的话题成为刷屏热点。。。。。。随着信息安全事务频仍、国度监管的加强，，，，，，，“首席安全官”（CSO），，，，，，，这一驰名度并不高的职位，，，，，，，逐步得到更多关注。。。。。。陪伴着身价持续暴增、职责不休扩大，，，，，，，首席安全官自身也在经历巨大的转变。。。。。。

    一、首席安全官的发源和职能

    “首席安全官”一词重要用于描述机构中掌管IT安全的主管，，，，，，，信息时期下有的机构也将之称为“首席信息安全官”（CISO），，，，，，，时时与首席技术官、首席安全官和首席数据官等技术辅导职位并劣祝。。。。。

    但首席安全官职位在机构中常处于边缘职位，，，，，，，在治理层中的讲话权与首席信息官等高管齐全不成同日而语。。。。。。甚至由于其对业务发展的“掣肘”或“负面影响”，，，，，，，而被视为麻烦造作者。。。。。。直到今天，，，，，，，无数机构一向没有设立这一职位，，，，，，，在董事会为首席安全官设置席位，，，，，，，更是一种奢望。。。。。。

    当前，，，，，，，沉大数据泄露与勒索攻击日益频仍，，，，，，，网络安全防护合规需要日益加强，，，，，，，推动更多机构设立这一职位。。。。。。同时，，，，，，，这一职位也被赋予更多职责与进展。。。。。。首席安全官在由谙熟安全技术与工具的辅导，，，，，，，转变为提倡安全文化、具备优良的沟通与辅导能力，，，，，，，赋能业务发展的贸易辅导。。。。。。首席安全官的职能与角色在被沉新界说。。。。。。

    1995年，，，，，，，一名黑客闯入了花旗银行的推算机系统，，，，，，，窃取了超过1000万美元。。。。。。随后，，，，，，，信息安全专家斯蒂夫·凯茨（SteveKatz）参与花旗银行，，，，，，，并被录用为首席信息安全官，，，，，，，被公以为全球第一个首席信息安全官。。。。。。企业和机构从此引入了一个新职位，，，，，，，以应对守护技术基础设施的信息和运营安全的不休增长需要。。。。。。在时任首席执行官的支持下，，，，，，，斯蒂夫援手花旗银行成立起了安全团队，，，，，，，全球专兼职安全人员超过600人。。。。。。

    1999年，，，，，，，美国通过“格雷姆-里奇-比利雷法案”(GLBAct)，，，，，，，即金融现代化法案，，，，，，，要求金融企业的董事会录用一名首席信息安全官，，，，，，，并每年让首席信息安全官向董事会汇报安全情况。。。。。。这一法案再次推动了首席信息安全官的设立与遍及。。。。。。

    目前在上市公司中，，，，，，，我们会看到首席信息安全官（CISO）、首席安全官（CSO）或首席信息官（CIO）等分歧的头衔。。。。。。好多人对这些技术辅导职位之间的关系和职能划分感应猜疑。。。。。。

    现实上，，，，，，，首席信息安全官（CISO）、首席安全官（CSO）或首席信息官（CIO）三者存在着某种交叉关系。。。。。。

    作为最沉要的IT掌管人，，，，，，，首席信息官重要掌管战术IT投资、辅导数字化转型打算、治理IT运营等。。。。。。首席信息安全官则掌管造订和执行机构的网络安全打算、与安全供给商合作、对员工进行安全培训等。。。。。。最初设立首席信息安全官这个职位是为了应对针对金融机构的网络攻击。。。。。。在某些机构中，，，，，，，安全主管必要监督网络安全政策，，，，，，，掌管保；；；；と嗽薄⒉泛土鞒痰陌踩，，，，，，，其职责大大超过“信息安全”的领域，，，，，，，因而会被称为首席安全官（CSO）。。。。。。

    凭据工作和脾气类型，，，，，，，钻研机构Forrester以为首席安全官能够分为六种类型：

    刷新型：通常“活力四射”，，，，，，，积极推动刷新打算，，，，，，，乐于推动实现旋转的项目。。。。。。

    救火队型：掌管沉建安全团队，，，，，，，在后盾默默致力降低损失和应对公关危；；；；，，，，，，，在动荡中实现成长。。。。。。

    合规专家型：通常在监管严格的行业，，，，，，，谙熟监管机构和合规要求。。。。。。

    战术/运营型：能够轻松应对技术复杂性的行动派。。。。。。

    不变型：通常服务于不必要立即转型的机构。。。。。。

    直面客户的布路者：愿意成为网络安全代言人，，，，，，，能够凭借自身魅力获得支持。。。。。？？？？？萍计笠荡死嗍紫踩俳隙唷！！。。。

    二、首席安全官认可杜仔待提升

    随着信息技术的发展，，，，，，，越来越多的机构设立了首席安全官。。。。。。凭据调查，，，，，，，2018年至2019年期间，，，，，，，占有首席安全官的全球机构数量增长了6%。。。。。。凭据Gartner的数据，，，，，，，到2025年，，，，，，，40%的公司将占有一个由董事会成员监督的专门网络安全委员会——今天这个数字是10%。。。。。。

    杰出的信息安全主管能够提升机构安全战术，，，，，，，降低安全事务的负面影响。。。。。。

    但现实情况是：首席安全官并未获得所需的资源和认可。。。。。。

    10多年前，，，，，，，首席安全官还是职级较低的安全掌管人，，，，，，，大部门工作内容可能是单一的病毒查杀。。。。。。今天，，，，，，，机构掌管人在际遇网络入侵问题时都要向首席安全官求助，，，，，，，要求执行安全响应，，，，，，，降低影响和经济损失。。。。。。

    凭据Forrester公司2020年的钻研汇报，，，，，，，只有13%的首席安全官被以为是最高层治理人员，，，，，，，只管这一数字已经远远高于几年前的5%或6%。。。。。。这种情况导致首席安全官很难扩大其在机构内的影响力。。。。。。大无数受访者（56%）认可：在机构治理层进行战术决策时，，，，，，，并不会征询网络安全团队，，，，，，，或者征询得太晚。。。。。。网络安全也时时缺席职能部门的沉要评估。。。。。。约六成（58%）受访者暗示，，，，，，，在执行新技术时并未留出足够的功夫进行适当的网络安全评估或监督。。。。。。

    首席安全官向谁直接汇报工作，，，，，，，这往往被视为判断在机构职位的最单一方式：若是向首席执行官（CEO）汇报，，，，，，，则批注该职位属于高管；；；；；若是向财政、风险或合规部门汇报，，，，，，，则意味着其不属于高管之劣祝。。。。。

    自首席安全官职位设立以来，，，，，，，大无数都向首席信息官(CIO)汇报工作，，，，，，，目前无数机构仍是这种情况。。。。。。这种架构有其利益：首席信息官是最相识网络安全问题的高管，，，，，，，并且大部门网络安全支出都与IT有关。。。。。。

    但这种设置也带来多种内涵矛盾：安全掌管人与技术掌管人并没有处于平等职位，，，，，，，首席安全官无权从安全角杜装响首席信息官推动但存在安全问题的创新项目；；；；；此表，，，，，，，若是首席信息官不得不削减企业IT支出，，，，，，，沉要的安全项目往往会首当其冲。。。。。。

    首席信息官与首席安全官之间有着诸多分歧：首席信息官关注确保使用正确的数字工具，，，，，，，最大限度提高效能，，，，，，，并不休寻找和使用更好的数字技术。。。。。。首席安全官则掌管保；；；；な莅踩浴⑵肴裕；；；；首席信息官往往是是经验丰硕的职场老手和辅导者，，，，，，，而首席安全官更年轻、更专业。。。。。。首席信息官重要是思考IT有关的工作，，，，，，，首席安全官则必要辅导团队应对实时威胁缓和解攻击，，，，，，，构建安全架构与发展基础设施保；；；；，，，，，，，执行和治理安全战术，，，，，，，以及发展安全意识培训和建设安全文化。。。。。。向首席信息官汇报，，，，，，，可能会令首席安全官专一于技术解决规划，，，，，，，而就义了更全面的安全视角和思虑。。。。。。

    网络安全在机构中的沉要性日渐提升，，，，，，，成为作出任何沉大决策前都必要思考的第一成分，，，，，，，这也进一步影响了首席信息官与首席安全官的关系。。。。。。

    为了将首席安全官的职位独立出来，，，，，，，美国纽约市在2017年设立了“网络安全指挥部”，，，，，，，掌管造订信息安全政策和尺度、发展网络防御和应急响应，，，，，，，以及提供网络防御微风险治理领导。。。。。。掌管辅导这一部门的纽约市首席安全官，，，，，，，由原来的向CIO汇报，，，，，，，改为直接向第一副市长汇报。。。。。。这一设置提高了纽约市各部门对网络安全的认知，，，，，，，同时为纽约各有关机构打造了越发便于沟通联系的中心点。。。。。。

    在专业的安全人士看来，，，，，，，对于金融、医疗、公共事业等对网络安全拥有严沉依赖的行业，，，，，，，直接向诸如CEO此类的最高业务辅导汇报工作可能是最有效的架构，，，，，，，这有助于安全主管获取所需的影响力和支持。。。。。。一旦遭逢网络攻击或出现数据泄露，，，，，，，首席安全官与CEO直接沟通，，，，，，，能够加快决策流程，，，，，，，更快地解决网络安全问题。。。。。。

    近年来，，，，，，，已经出现了将安全治理与安全运营分离的趋向。。。。。。将基础运营职责转给其他主管，，，，，，，首席安全官能够更多关注治理和战术工作，，，，，，，真正承担起安全治理的角色。。。。。。

    三、高危职位：流动率高得惊人

    与其他技术主管相比，，，，，，，首席安全官的流动率依然高得惊人。。。。。。凭据CybersecurityVentures对财富500强的统计，，，，，，，约莫24%的首席安全官的任职功夫仅仅为1年。。。。。。而凭据ZDNet的统计数据，，，，，，，首席安全官的均匀任期仅为26个月。。。。。。与此相对照的是，，，，，，，美国前1000家大型公司CIO的均匀任期为54个月。。。。。。

    传统概想以为，，，，，，，首席安全官去职的重要原因，，，，，，，是他们往往成为数据泄露事务的替罪羊。。。。。。在IBM的调查中，，，，，，，近一半的受访者以为CISO是对任何数据泄露“最掌管任”的人。。。。。。因而，，，，，，，在一些驰名的安全事务被披露后，，，，，，，均出现安全高管遭解职的景象，，，，，，，蕴含第一本钱、Equifax、优步、脸书、塔吉特百货（Target）、摩根大通和旧金山州立大学等。。。。。。因安全事务导致首席安全官被开除的真实数量还有待统计，，，，，，，由于大部门安全事务城市低调处置，，，，，，，更多细节不会被披露。。。。。。

    但有的时辰，，，，，，，对首席安全官来说，，，，，，，产生安全事务可能是一件功德。。。。。。事务会促使企业掌管人起头器沉安全工作，，，，，，，安全团队会获得更多的资源和支持。。。。。。

    但首席安全官面对的职业倦怠、工作与生涯的平衡、不休增长的压力、持续恶化的网络环境、人际关系，，，，，，，都让其每天面对巨大的挑战，，，，，，，而很容易选择去职。。。。。。

    数据显示，，，，，，，工作压力对首席安全官人群造成了巨大负面影响，，，，，，，甚至引发了心灵和身段健全问题、人际关系问题，，，，，，，在某些情况下导致职业倦怠，，，，，，，均匀在26个月任期之后，，，，，，，首席安全官就选择会选择新工作。。。。。。

    安全公司Nominet对800位首席安全官、企业高管进行了调查，，，，，，，得出以下数据：88％的首席安全官称面对“中度或极大压力”；；；；；48％的首席安全官暗示，，，，，，，工作压力对生理健全造成了不利影响。。。。。。现阶段的首席安全官依然普遍遭逢安全预算低、工作功夫长、不足足够权势等问题，，，，，，，面对的压力持续不休。。。。。。

    首席安全官也会由于积极的成分而选择脱离，，，，，，，好比，，，，，，，去职实现经济回报和其他职业空间的提升。。。。。。作为炙手可热的人选，，，，，，，安全主管获得的新工作机遇远超其他高管。。。。。。与网络安全事务可能造成的巨大经济损失与合规风险相比，，，，，，，首席安全官幼我的薪水就不算什么了。。。。。。“300万年薪招不到胜任首席安全官”的景象出现，，，，，，，代表着在巨大需要与人才匮乏之间的落差。。。。。。

    频仍的去职率对安全团队带来负面影响，，，，，，，就类似专业活动队锻练的变动，，，，，，，可能会影响团队的士气和成就。。。。。。因而，，，，，，，即便是“好的去职理由”也可能导致内部权势抢夺和增长安全团队组织的不不变性。。。。。。

    四、不休转变：从风险防御到业务赋能

    从1995到此刻的20多年来，，，，，，，首席安全官的职责与要求也在不休产生变动。。。。。。

    作为全球首位首席安全官，，，，，，，斯蒂夫从1995年到2001年在花旗公司任职六年。。。。。。与斯蒂夫昔时面对的情况相比，，，，，，，今天的世界已经大不一样，，，，，，，安全态势已经产生了底子性变动。。。。。。数字技术和互联网渗入到业务的方方面面，，，，，，，导致攻击面急剧扩大。。。。。。同时，，，，，，，攻击者把握着越发先进的工具，，，，，，，网络攻击的技术显著增长。。。。。。

    20年前，，，，，，，首席安全官通常只需拥有IT布景、把握优良技术，，，，，，，知路哪种技术解决规划最能阻止攻击者，，，，，，，而不用极度相识要保；；；；さ亩韵蟆！！。。。

    从前十年见证了首席安全官的职责从保；；；；T系统，，，，，，，到保；；；；な莺托畔⒌淖洹！！。。。除了纯正的数字威胁，，，，，，，首席安全官的角色逾越到了物理安全领域，，，，，，，掌管保；；；；の锪⒐た睾凸丶低，，，，，，，甚至保；；；；ぴ冻滩僮魅嗽薄！！。。。从安全运营、风险治理到合规要求，，，，，，，以及其他方面，，，，，，，首席安全官必要全面思考和应对各类各样的问题。。。。。。

    随着数字化转型的深刻，，，，，，，首席安全官目前正面对一大关键时刻：若是可能支持数字化转型，，，，，，，首席安全官将真正成为企业发展战术的沉要推动者。。。。。。凭据《安永2021年首席执行官钻研汇报》的数字，，，，，，，68%的首席执行官正规划将来12个月内涵数据和技术方面进行沉大投资。。。。。。

    对首席安全官在数字化转型中的角色而言，，，，，，，安全不再仅仅是风险问题，，，，，，，它与业务亲昵有关，，，，，，，事关企业的竞争力：打造不变靠得住的数字业务，，，，，，，无疑是在数字化日益加深的贸易环境中赢得先机的保险。。。。。。

    其实，，，，，，，作为全球第一个首席安全官，，，，，，，斯蒂夫至少有一半的功夫是承担安全布路者角色：提倡网络安全，，，，，，，将安全知识文化嵌入到业务线钟祝。。。。。斯蒂夫这种将安全视为业务问题，，，，，，，而非技术问题的设法到此刻来看都极度沉要。。。。。。定期与业务辅导会晤，，，，，，，成立肯定水平的可信度，，，，，，，有助于首席安全官赢得更多的支持和合作。。。。。。

    这种对安全自身的意识变动，，，，，，，无疑会推动首席安全官的职责产生底子扭转。。。。。。首席安全官的职责领域比以往任何时辰都宽泛，，，，，，，必须将自己定位为业务推动者，，，，，，，必要熟悉业务根基活动，，，，，，，使用业务说话进行沟通。。。。。。一个杰出的首席安全官，，，，，，，除了拥有技术布景和能力，，，，，，，还必要相识业务、把握沟通能力，，，，，，，相识隐衷保；；；；，，，，，，，蕴含司法律规。。。。。。

    在复杂的网络安全局势下，，，，，，，首席安全官被赋予了太多进展与需要。。。。。。首席安全官必要学会用贸易说话来注明，，，，，，，安全团队是企业的价值中心，，，，，，，以及风险治理战术的沉要组成部门，，，，，，，而不是成本中心。。。。。。对一些只热衷于技术的首席安全官来说，，，，，，，这样可能有些强人所难，，，，，，，但却能够有助于其获得更多的话语权和资源。。。。。。

    长远来看，，，，，，，随着信息技术和数字社会的深刻发展，，，，，，，首席安全官的职责可能还会产生变动。。。。。。

    五、艰巨索求：呼叫国内首席安全官

    自2015年起头，，，，，，，国内信息安全产业界就持续呼吁成立首席安全官造度，，，，，，，但至今为止，，，，，，，国内首席安全官造度尚未走向成熟。。。。。。

    凭据2018年的《中国首席安全官（CSO）调研汇报》，，，，，，，仅有30.2%的政企机构设立了CSO或相应级别岗位。。。。。。近一半的机构，，，，，，，在其时从未思考过设置这一岗位。。。。。。

    业内人士以为，，，，，，，首席安全官这一人群规模依然相对较幼，，，，，，，目前多存在于表资企业和机构，，，，，，，以及数据安全和隐衷合规要求较高的互联网公司钟祝。。。。。在大型企业中固然已经有专门掌管信息安全的部门，，，，，，，但其治理者的角色尚未上升到首席安全官这个高度。。。。。。

    2021年，，，，，，，我国的《数据安全法》《关键信息基础设施安全保；；；；ぬ趵泛汀队孜倚畔⒈；；；；；しā废嗉搪涞刂葱，，，，，，，加上此前的《网络安全法》、网络安全等级保；；；；ぴ於，，，，，，，网络安全司法系统日臻美满，，，，，，，给企业带来的安全合规压力剧增，，，，，，，有关处罚案例层出不穷。。。。。。“滴滴出杏妆受网络安全审查，，，，，，，多多过度网络幼我信息App遭下架。。。。。。网络安全与隐衷保；；；；の侍庖丫苯佑跋斓狡笠狄滴裨诵，，，，，，，高薪追求合格的信息安全掌管人成为市场热点，，，，，，，这必将推动更多机构器沉并设立首席安全官岗位。。。。。。

    作为一个新兴的群体，，，，，，，首席安全官的造就与成长显然不会一挥而就，，，，，，，也不能苛求候选人具备技术、沟通、治理、司法等八面玲珑的专业素养，，，，，，，如前所述，，，，，，，首席安全官自身分为多个类型，，，，，，，机构选择设置适合自己的信息安全主管步崆最现实的选择。。。。。。

    文│ca88登陆平台虎符智库、安全内参掌管人李建平

    （本文登载于《中国信息安全》杂志2021年第11期）