这是同类研究中的首创，基于对来自美国、欧洲和亚洲的37位大型跨国公司首席执行官的访谈，旨在了解首席执行官如何看待网络安全以及他们对网络安全的感受。
研究发现，首席执行官在做出网络安全决策时感到不适，更倾向于讨论韧性而非网络安全，并且信任其首席信息安全官（CISO）。
这些发现为首席信息安全官提供了一个机会，使其能够主动促使首席执行官迈向知情信任的状态。
“我们当时处于一种惨烈的境地，不得不做出任何公司都不愿面对的艰难抉择，”表示Joe Blount，科洛尼尔管道公司（Colonial Pipeline）首席执行官（CEO），在美国参议院接受质询时就在其公司遭遇勒索软件攻击一个月后。科洛尼尔管道公司是一家主要的管道所有者和运营商，负责向美国东部运输近一半的运输燃料。
如此毁灭性的网络攻击将首席执行官推向聚光灯下。他们受到媒体、股东、监管机构及其他利益相关方的密切关注，必须在极大压力下基于不完整的信息做出关乎企业生死的决策——而通常并不具备深厚的网络安全专业知识。但令人惊讶的是，据我们所知，尚无人以系统性的方式询问首席执行官他们如何管理网络安全风险，以及他们在遭受严重网络攻击后所吸取的教训。
在这项同类研究中首开先河的研究，由牛津大学与ISTARI共同开展，对来自美国、欧洲和亚洲的37位大型跨国公司首席执行官进行了时长一小时的访谈，旨在了解首席执行官如何看待网络安全以及他们对网络安全的感受。重要的是，我们访谈了九位曾不得不带领公司应对毁灭性网络攻击的首席执行官。在获得匿名保证后，他们坦率而诚实地谈到了所吸取的教训，以及他们的焦虑与遗憾。
了解首席执行官如何看待网络安全与韧性，对首席信息安全官（CISO）至关重要。这有助于他们更有效地支持首席执行官管理网络风险，并使他们能够为其网络安全计划争取更有意义的高层支持。
以下是首席信息安全官需要了解其首席执行官的三点内容，以打造高效的网络韧性合作伙伴关系。
世界经济论坛在网络安全领域开展了哪些工作？
网络安全中心为各界领导者齐聚一堂、理解不断演变的网络风险及其系统性影响提供了可信平台。该中心致力于在日益互联的数字世界中增进理解与信任。
通过促进跨行业合作与洞察共享，该中心帮助合作伙伴加强网络韧性，并应对需要集体应对的挑战。
1. 首席执行官在做出网络安全决策时感到不适
尽管我们访谈的首席执行官中有100%坚称他们对网络安全负有责任，但多数人（72%）承认在网络安全决策方面感到不适。
大多数首席执行官是通过金融、运营或营销等传统业务领域逐步晋升的。很少有人一开始就从事技术工作，更不用说网络安全，然后成为首席执行官。因此，很少有人熟悉信息技术和网络安全系统。
一家规模为80亿美元的欧洲公司的一位首席执行官简明扼要地指出：“首席信息官（Chief information officer）在一次高管会议上前来汇报，并问我们认为公司有多少台服务器。会议室中给出的最低估计为4台，最高为250台。实际数量超过4000台。”
但是，当发生严重网络攻击时，这种不熟悉可能会削弱首席执行官做出正确决策的能力。首席执行官的这种不适感为首席信息安全官提供了一个机会，帮助他们在这一领域变得更加从容。
首席信息安全官可以建立更紧密的关系，将技术与业务要务相结合，以追求网络韧性。
2. 首席执行官希望讨论韧性，而非网络安全
当我们最初邀请首席执行官接受关于网络安全的访谈时，许多人主动建议我们改为与其首席信息安全官交谈，或至少邀请对方一同参加。会议开始时，我们能明显感受到他们对于独自应对网络安全议题的焦虑。
但我们在方法上的一个微小改变显著改变了访谈的动态：以业务韧性为框架展开对话。例如，当我们询问他们的公司在新冠疫情期间是什么使其保持韧性时，首席执行官随后便能从容地转向关于网络韧性的讨论。尽管我们的访谈原定为一小时，但许多首席执行官都延长了时间，因为正如他们告诉我们的，他们很享受关于业务韧性和网络韧性的讨论。
那些曾带领公司应对严重网络攻击的首席执行官进一步凸显了网络韧性的重要性。他们最大的遗憾之一，是过于关注网络安全防护，而忽视了韧性。经历攻击使他们认识到，完美的网络安全防护是一场必输的博弈。相反，他们开始将网络攻击视为每个组织都可能遭遇的“可预见的意外”。因此，他们将战略重点转向提升组织的网络韧性。
网络韧性是指组织预判、承受、应对网络攻击并从中适应的能力。其目标是最大限度降低影响、加快恢复，并变得更加强大。
首席执行官的这一见解为首席信息安全官提供了一个机会，使其以韧性而非网络安全防护为框架来制定网络战略。在阅读我们的研究后，一些首席信息安全官与我们取得了联系，其中一位表示：“我已将我们的网络战略调整为以网络韧性为导向，这一信息在整个业务中传达得非常好。”
3. 首席执行官盲目信任其首席信息安全官，这既有好处也有坏处
我们访谈的所有首席执行官都信任其网络安全团队能够履行职责。这通常是一件好事。然而，那些曾遭受攻击的首席执行官后悔自己曾不假思索地信任网络安全团队。对他们而言，盲目信任意味着他们将责任和理解委托给了技术专家，却无法充分理解或批判性地质疑这些专家。
当公司遭受攻击时，委托已不再是首席执行官的选择。与营销或金融等其他更传统的领域不同，首席执行官在网络危机中缺乏推进决策的经验或直觉。但由于此前他们不假思索地信任专家，这次攻击意味着他们不得不将公司的命运交到通常在决策层级中位置低得多的人手中——而这是他们通常不会做的事情。
这也为首席信息安全官提供了一个机会，使其能够主动促使首席执行官停止对网络安全团队的盲目信任，转而迈向知情信任的状态。
为此，首席信息安全官可以要求首席执行官委托进行外部审计，就像他们委托进行财务审计一样。来自外部专家、并直接向首席执行官报告发现的公正建议，能够在首席执行官与首席信息安全官之间建立知情信任，同时揭示公司可能存在的任何盲点。
