电子工业出版社-网上书店

1.现在CISO承受的工作压力很大，即使如此，这份工作对那些有抱负的人来说也依然充满着吸引力。每一位有志之士都希望进一步完善自己的职业规划，让自己在工作过程中可以持续升级与成长。2.本书则围绕角色转变、数字化组织下的能力构成与落地、业务融合路径、未来发展等方面详细介绍了CISO这个新职位，涵盖了CISO新角色、能力修炼、承接战略、深化合作、团队建设、优化策略、人才培训等多个维度的事业进阶秘籍。对于对信息安全高层管理者、信息安全总监、信息安全工作者来说，本书具有很强的指导和引领意义。

8.1  抵御常见网络攻击	116
8.2  App遭受攻击	119
8.3　网络勒索处置	122
8.4　云服务风险处置	125
8.5　保护重大活动安全	128
8.6　互联网金融欺诈	130
8.7  网络间谍渗透	132

下篇  与业务共同成长的CISO
第9章  落地实施：调整安全工作优先级	137
9.1  业务支持：降低风险，提升效率	137
9.2  中长期规划：将风险扼杀在摇篮里	142
9.3  当下：关注TOP场景	147
第10章  优化策略：从项目管理到企业治理	151
10.1  项目管理	151
10.2  技术管理	155
10.3  企业治理	161
第11章  人才培训：打造数字化安全人才库	166
11.1  持续的安全人才培训计划	166
11.2  安全人才课程体系开发	170
11.3  将安全文化落到实处	175
第12章  前景展望：CISO未来进阶路径	180
12.1  未来的CISO	180
12.2  CISO的前景展望	184

1995年，花旗银行遭遇了一起史无前例的风险事件：一名黑客入侵花旗银行的计算机系统，非法窃取1000多万美元。后来为了避免此类事件再次发生，花旗银行请来知名信息安全专家斯蒂夫?凯茨（Steve Katz）坐镇，任命他为首席信息安全官（Chief Information Security Officer，CISO）。而他也被公认为全球第一位正式的CISO。
至此，企业引进了一个新职位——CISO，以更好地保护技术基础设施的安全。但不得不承认，在之前很长一段时间内，CISO都是以“背锅侠”的身份艰难地生存着。他们经常会因为突然发生的安全事件而备受责难，或者直接被领导视作企业的“罪人”。
这种长期遭受误解的状态让CISO被边缘化，其拥有的发言权和决策权很少，与绝大多数高层管理者完全不可同日而语。甚至有些企业因为其对业务发展有一定的掣肘作用或负面影响，而将其定性为“Trouble Maker”（麻烦制造者）。
鉴于此，很多企业起初并没有重视CISO这一职位，在董事会占据席位对于CISO来说更是一种奢望。知名咨询机构Gartner提供的数据显示，预计到2025 年，大约40%的企业将拥有一个由董事会成员监督的网络安全委员会，而截至2022年初，这个数字仅为10%。
随着技术的不断进步以及数字化时代的到来，大规模数据泄露与勒索攻击事件频发，不仅严重损害了企业的声誉和形象，还导致企业的收入和经济实力骤降。再加上国家监管力度的持续加大，企业对安全保护与合规的需求愈加强烈。
于是，越来越多的企业开始招聘CISO，并对该职位寄予厚望。很多企业希望CISO可以为董事会提供有价值的商业建议，并告诉董事会当企业发生严重的安全事件时，哪些重要的工作是必须做的。当然，如果CISO可以简明扼要地说清楚安全漏洞多长时间能修复、修复漏洞可以帮助企业避免或挽回多少损失等问题，董事会会更满意。
在越来越受重视的趋势下，CISO的身价持续暴涨、职责范围不断扩大，“300万元年薪招不到优秀的CISO”的话题更是一度成为霸屏热点。这意味着，CISO的黄金时代已经到来。
担任CISO的你能否抓住机遇呢？这是一个值得思考的问题。如果企业恰好要对安全风险管控和合规机制进行改革，或者要进一步提高安全项目的成熟度，那么抓住机遇对CISO来说就很重要。在这段稍纵即逝的事业黄金期内，CISO要找到充实自己的方法。
为此，我将一些我认为比较重要的方法编撰成书，以期帮助CISO获得更多资源，争取成功。这些方法不仅凝结了我多年积累的知识和实践经验，更关键的是融合了我希望向广大CISO传递的一些非常有价值的观点。
观点1：摆脱“背锅侠”的称号，将保护企业的声誉作为核心工作十分重要。尤其到了数字化时代，企业的积极转型给了CISO一个由被动解决安全问题转向主动解决安全问题的机会。CISO只有抓住这个机会，才可以提升自己在组织中的地位。
观点2：数字化时代的CISO“呼唤”领导力。CISO应该把自己打造成一个具备商业性质的“领导”，及时输出有价值的商业建议，帮助企业以更低的成本、更快的速度抵御攻击，顺利解决安全问题。另外，注重治理，找到安全与业务发展的平衡点对CISO来说很重要。
观点3：CISO平时要与很多人打交道，例如，向领导汇报工作；和首席财务官（Chief Financial Officer，CFO）沟通，争取更多预算和资源；与人力资源业务合作伙伴（Human Resource Business Partner，HRBP）协调工作任务和目标并向下属传达；统筹指挥整个安全团队；与外部供应商和承包商谈判等。这意味着，CISO要想更顺利、高效地开展安全工作，就必须积极参与到组织的各个运营环节中，并和相关人员建立关系。
观点4：CISO空有能力，却无法把能力落到实处是绝对不行的。CISO应该将能力转变为“看得见摸得着”的实实在在的价值让企业的声誉不受损害，帮助企业降低甚至避免损失。
本书紧紧围绕这些观点创作而成，致力于把这些观点讲深、讲透、讲活。本书对这些观点进行深化、延伸、拓展，细分为三个部分：重新定义CISO、数字化组织的CISO、与业务共同成长的CISO。每个部分都有其独特的魅力，详细讲述了CISO的成功之道。
一、重新定义CISO
1．CISO要更深刻地理解自己的职业，分析自己的现状与未来面临的挑战。
2．CISO要转变角色，不要只把自己当作技术负责人，而要从提权路径、摆脱成本中心陷阱、进入决策层等方面入手提升自己，找到数字化时代的发展路径。对CISO来说，信任已经成为一个十分重要的差异化因素，如果CISO希望在企业中扮演更有战略意义的核心角色，就要集合利益相关者，与他们建立信任关系，使组织能考虑到他们的切实利益。
3．CISO要明确自己的新角色，弄清楚转变后的自己是什么模样。
（1）围绕新角色绘制能力图谱，包括30%显性能力（丰富CISO知识储备）、50%隐形能力（掌握CISO通用技能）、20%隐形特质（了解CISO自驱使命）。
（2）将经验和成果应用到工作中，培养战略思考能力，积极应对新的信息安全。
这一部分内容的主要目的是让CISO了解自己的新角色，培养与新角色相符的能力、工作方式及管理风格，以获得管理层的资源支持。
二、数字化组织的CISO
1．几乎所有CISO都处在数字化组织中，所以CISO应该修炼与数字化组织适配的商业能力，包括沟通与协调能力、领导力、市场营销能力。其中，沟通与协调能力是最值得关注的，CISO要在董事会上“发声”，向董事会传递自己的需求，同时还要与其他部门沟通。
2．CISO所习得的能力要承接战略，帮助企业应对数字化时代的安全挑战，包括防御策略变革、风险种类增多等。另外，数字化转型应该由CISO来提供安全保护服务，同时CISO还要构建数字能力安全体系。
3．目前与IT部门共建安全体系已经成为大多数CISO日常工作的重心，但二者合作难的问题又让企业不得不想办法改善现状。
（1）CISO可以参与组织战略规划，与IT部门统一目标。
（2）CISO应该争取与首席信息官（Chief Information Officer，CIO）有同样的发言权，最好能和他们共享网络安全所有权。
（3）CISO必须清楚谁向自己汇报，而自己又应该向谁汇报的问题。
（4）设置安全项目预算是很重要的，切勿让这项工作成为CISO升级的障碍。
4．当CISO的能力达到一定水平时，CISO要负责信息安全部门规划制定与组织架构搭建。
（1）掌握建立信息安全团队要考虑的几大因素，包括7×24小时响应需求、成员是全职还是兼职、如何控制成本等。
（2）搭建信息安全团队架构，明确信息安全执行工作组、信息安全审核工作组、应急处理工作组等不同工作组的职责。
（3）明确信息安全团队的绩效目标与激励措施，做到赏罚并重。
5．修炼能力的最终目的是形成完善的解决方案，帮助企业做好信息安全保护与合规工作。CISO要让自己的能力在以下数字化安全场景中顺利落地。
（1）抵御常见网络攻击。
（2）App遭受攻击的处理。
（3）网络勒索处置。
（4）云服务风险处置。
（5）保护重大活动安全。
（6）互联网金融欺诈识别与处理。
（7）网络间谍渗透。
在工作和升级过程中，首先CISO要修炼多种能力，这一部分内容旨在帮助CISO习得这些能力；然后CISO要借助这些能力承接战略、与IT部门合作、加强团队建设；最后CISO要将这些能力应用到数字化安全场景中。
三、与业务共同成长的CISO
1．现在很多企业招聘CISO的要求之一都是“懂业务”，因为这样的CISO可以帮助企业降低风险成本，提升运营效率。换言之，你要想成为一位合格的CISO，就必须“懂业务”，而且还要根据业务情况调整安全工作优先级。
（1）CISO要在网络安全、数据安全、应用开发安全等方面为业务部门提供支持。
（2）为了不被同事误认为自己是“Trouble Maker”，CISO要做中长期规划，将危机扼杀在摇篮里，具体工作包括识别规划、联防检测、响应恢复。
（3）在当前的业务运营环境下，网络攻击、数据泄露事件频发，业务部门面临很大的网络安全及转型挑战，CISO要针对这些场景为业务部门提供相应的解决方案。另外，还有一项非常重要的工作是，CISO要迎合业务发展，打造“零信任”的安全管理模式。
2．任何策略都不是一成不变的，安全策略当然也是如此。从项目管理到技术管理，再到企业治理，其安全策略都要不断优化。
3．一位优秀的CISO的归宿是变身为管理者，打造安全人才库，为企业输出更多安全人才。但就现阶段而言，安全人才内生已经成为一大难题，CISO要做的就是解决这个难题。
（1）CISO要强化认知，形成安全意识，并修炼举一反三地解决问题的能力。
（2）CISO要围绕企业生命周期、企业组织架构开发安全人才课程体系。
（3）CISO要将安全文化落到实处，具体可以从教、严、查、实四个维度入手。
4．当CISO成为企业守护者时，其考虑问题肯定更长远。此时CISO会展望前景，以前瞻性思维为自己规划未来进阶路径。
（1）未来，CISO的重要性将更加凸显，CISO要具备更高的业务素养和能力，并有完善的CISO继任计划。只有做到这样，CISO才能领导多元化的团队。
（2）毫不夸张地说，CISO现在已经成为“香饽饽”，市场上也多了很多就业机会，就业前景良好。未来，CISO将具有更强烈的使命感和责任感，也可以接触更多充满关爱、相互合作的伙伴。
这一部分内容不仅是对CISO与业务共同成长的描述，也是对CISO未来发展蓝图的绘制。CISO要重视业务和安全人才培训，为行业甚至国家输出更多优秀的安全人才。
CISO是一个尚且“年轻”的新职位，从事该职位的你不能奢望自己的成长可以一蹴而就，而应该追求“稳扎稳打”，一步一步地提升专业素养。尤其在CISO成为市场热点被一众企业追捧时，坚持“稳扎稳打”是最现实也最正确的选择。

 作  者  	
2024年8月30日

本书配套资源下载

对不起，暂无音视频资源！

首席信息安全官：赋能企业进化升级