网络安全负责人同时也是业务领导者，其工作是在不中断业务的前提下保护数据。然而，当今网络安全挑战的复杂性和严峻程度，让许多组织感到棘手；并非每位高管都是网络安全专业人士，他们也不一定需要成为专业人士。关键在于，组织中主要负责网络安全的人员要能够在同事之间以及整个业务范围内有效地传达风险。
世界经济论坛近期发布的《当今数字世界中的领导者网络安全指南》提供了应对网络安全挑战的实用指导。它是否能完全抵御网络攻击和安全漏洞？答案是否定的，世上没有万能良方，但它确实包含了10项基本原则，供企业领导者融入公司的日常运营中。认真践行这些原则，并将其融入企业文化，将在很大程度上有助于降低风险、增强网络韧性。
苏黎世保险集团正是采用基于风险的框架来实现这一目标。其综合信息安全基线（IISB）统一了全球组织内的安全工作，并帮助业务领导者（包括业务部门首席执行官、首席运营官和首席财务官）更好地理解和管理关键网络风险。该基线由第一道和第二道防线共同管理，由一系列关键风险指标构成，这些指标涉及世界经济论坛指南中的多项原则。其主要益处在于，有助于实现第10项原则：营造网络安全文化。
强有力的网络安全文化并不在于让组织中的每个人都成为最新网络威胁方面的技术专家，而在于牢记以下要点：
组织中几乎所有人都能接触到对网络犯罪分子有价值的信息。这些信息可能本身就具有价值，例如可在暗网上出售的个人身份信息；也可能是凭据等信息，这些信息可被利用，用以潜入网络系统并访问其他关键系统。
许多数据泄露事件是由无意中的高风险行为引发的，例如选择弱密码或共享账户登录凭据。
最重要的是，当今的大多数网络威胁正是通过人员，以及借助钓鱼和社会工程学针对个人实施的攻击来达成其目的。
组织可通过以下方式增强其网络安全文化：
建立一套风险管理框架，使其能够在整个组织内被理解，即便是非网络安全专业人士也能理解。该框架无需全面衡量所有风险，但应采用能够代表主要风险领域的风险指标，既能提供网络安全风险的整体晴雨表，又能确保其始终纳入业务讨论范畴。
确保网络安全议题成为组织最高层对话的一部分。如果首席执行官谈论钓鱼防范意识，那么该议题很可能会成为各个层级的优先事项。
设立安全指导与意识职能部门，并任命一名高级领导负责开展安全意识宣传活动并监督安全培训。该高管应获得授权，与各业务职能部门的同事合作，设计能够满足不同员工专业需求的培训项目。
设立激励计划，以奖励并强化积极的安全行为。例如，可通过游戏化设计以及为报告钓鱼邮件数量最多的人员提供小奖品，使钓鱼模拟培训更具趣味性。
许多公司都有强制性的年度培训要求，但您也可以寻找方法，全年提供富有吸引力、简短精悍的安全培训。培训形式可以是有趣的测验、卡通或以安全为主题的网络短剧。
确保员工知晓快速举报可疑活动的正确渠道，并确保该信息易于记忆和获取。更好的做法是提供多种沟通渠道：IT服务台、专用的网络事件举报热线、电子邮件，甚至短信和社交媒体消息。
沟通、沟通，再沟通。为使网络安全始终处于人们关注的首位，需要通过多种渠道频繁且持续地进行宣传。公司通讯、博客、数字标识和海报都是推广相关内容的良好渠道，内容可以涵盖每日网络安全小贴士或口号，也可以是对公司高管进行的关于网络欺诈主题的访谈。
在每家公司、每个组织中，每个人都是安全卫士。我们all都有责任保持学习和警觉，并支持网络安全团队落实最佳实践。
