董事会成员与信息官之间坦诚的沟通，对于良好的网络安全至关重要。
网络安全专家必须通过非技术性的叙事方式传达其见解，并提出切中要害的商业论证。
商界领袖应致力于在整个组织中营造渗透各层级的网络安全意识文化。
在地缘政治紧张局势不断加剧、混合办公模式兴起，以及员工随时随地保持联络的需求日益增长的背景下，各组织在管理网络风险方面正面临尤为严峻的挑战。
对银行而言，这意味着风险管理的传统“三道防线”模式正承受前所未有的压力：第一道防线由首席信息安全官（CISO）负责风险的拥有和管理；第二道防线由首席信息安全风险官（CISRO）提供质询与监督；第三道防线则提供独立保证。鉴于金融行业的相互关联性及其作为威胁行为者目标的地位，我们必须持续致力于提升韧性，并确保控制措施的可持续性。
因此，董事会主席与首席信息安全风险官之间的互动至关重要，因为后者需要让前者确信，组织正在适当地管理其网络风险。然而，尽管网络安全的重要性日益提升，许多董事会成员仍觉得这一议题复杂，且超出其经验范围。双方坦诚、定期的沟通，有助于弥合这一差距。
将复杂的网络安全概念拆解开来
首席信息安全风险官及其领导团队可通过叙事方式提供帮助：将复杂的网络安全概念拆解为简明扼要的更新内容，例如提交治理文件和简报说明，阐明降低风险举措或监管变化与业务之间的相关性。
网络安全本身具有一定的技术性和复杂性，但网络安全领导者至关重要的是，要以有影响力、有感召力的方式沟通，并善于将技术内容转化为易于理解的语言，使董事会成员能够以洞见提出质询，从而更有效地履行其职责。
可以采取一些切实可行的措施，促使治理委员会成员更有效地参与网络风险议题。例如：制定可重复使用的模板，用于提交文件；拟定可按每次会议进行修订和更新的核心信息；并以通俗易懂的英语提出问题，如“哪些方面进展顺利？”“哪些方面本可以做得更好？”以及“这对业务有何影响？”
对于那些长期专注于直接应对业务中复杂技术挑战的人员而言，这可能颇具挑战性；但提供这一战略视角，能使董事会成员运用其作为商业领袖的经验，借鉴其他类型风险的知识，对网络风险进行深入质询。
帮助董事会建立战略性认知
为使董事会能够提出具有挑战性、切中要害的问题，量身定制的意识提升会议可帮助其有效理解业务影响、风险偏好指标及风险降低目标。内部专业知识将产出与业务相关的材料和情景，而来自外部的见解（无论是行业圆桌会议，还是专业的“网络顾问”）对于保持对最佳实践和行业规范的了解至关重要。
依据更新后的世界经济论坛《网络风险董事会治理原则》，渣打银行近年来设有定期的内部论坛，供董事会成员就网络风险的热点议题开展引导式讨论。该论坛营造了一个各条防线关键利益相关方均可参与、所有问题均受欢迎的环境，并由经验丰富的网络专家主持，已被证明是提升董事会专业能力的有效途径，并辅以更广泛的参与和意识提升活动。
这些项目采用融合式方法：着眼于战略与长远，而非被动应对，重点关注更广泛的技术和业务相关发展，同时也会提及该行业及第三方近期备受关注的重大数据泄露或安全事件，这些事件通常已为董事会成员所知。 长期而非被动应对的视角，重点关注更广泛的技术和业务相关发展，同时也会提及该行业及第三方近期备受关注的重大数据泄露或安全事件，这些事件通常已为董事会成员所知。
建立强有力的风险文化
在这些正式互动之外，网络安全领导者必须在业务中发挥深思熟虑、具有自觉意识的领导作用，并推动在组织内部营造网络安全意识文化。
强有力的文化使高级业务领导者不再仅仅停留于“自上而下定调”，而是培育一种具有网络风险意识的思维模式，使组织能够积极接纳，无需再被说服网络安全的重要性。这有助于自然地将网络风险融入日常思考与行动之中。自下而上地植入这种思维方式，并与自上而下的宣导相辅相成，将长期增强组织的网络韧性。
归根结底，建立建设性且具有挑战性的关系至关重要。对于首席信息安全风险官而言，向董事会的沟通需要做到透明、量身定制且便于转化为行动。成果与不足必须以准确、客观且以业务为导向的方式予以描述。向董事会提交的报告须针对具体论坛和背景量身定制；报告应回答“那又怎样？”的问题，将风险与企业的整体目标相联系。对于银行及金融服务行业的机构而言，确保充分涵盖监管层面的考量同样关键。
世界经济论坛在网络安全领域开展了哪些工作？
网络安全中心为领导者提供一个可信平台，使其齐聚一堂，共同厘清不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中增进理解与建立信任。
通过推动跨行业合作与见解共享，该中心帮助合作伙伴增强网络韧性，并应对需要集体应对的挑战。
对于董事会主席而言，关键在于以好奇心对待这一议题。这种能力有助于延续坦诚的对话，增进对网络安全概念和重点领域的理解，同时促使网络安全团队持续致力于对风险进行适当管理。将这一切整合起来，应形成一套有说服力的网络安全战略愿景，既为组织确立长期方向，也明确短期优先事项。随后，董事会主席与首席信息安全风险官可确保该愿景与业务需求保持一致，将网络安全定位为未来成功不可或缺的组成部分。
“普遍存在的网络犯罪与网络不安全”是全球十大威胁之一，参见《2023年全球风险报告》。如需更多详情，请阅读该报告。
