威胁形势变化迅速，企业必须为新兴风险做好准备。
IT专业人员与高管之间沟通不畅，可能导致网络安全风险被忽视。
要真正发挥网络安全的作用，就必须将其融入组织文化。
董事会成员和高管经常面临这样的挑战：在管理业务目标的同时，满足投资者和股东的期望。他们的工作重点是业务目标，例如提高公司的盈利能力、保持竞争优势、寻找下一个创新点子、促进员工参与，以及在严峻而充满挑战的商业环境中向股东派发股息。他们习惯于从商业角度看待问题。
遗憾的是，这对网络安全专业人员而言并非好事，因为他们的工作方式往往更局限于技术目标。许多人没有花时间思考如何使自身目标与公司的总体战略目标保持一致。因此，IT专业人员往往无法说明潜在安全风险对业务的净影响。正因如此，高管和董事会成员常常没有关注安全需求，只有在重大事件发生后才会讨论这些问题。
在许多公司，由于无法理解公司的技术目标与战略目标之间的联系，沟通不畅，导致董事会、高管与网络安全团队成员之间出现巨大分歧。但情况不一定非得如此。
网络安全不是技术问题，而是业务问题
威胁形势变化迅速，使组织难以领先应对当下的新兴风险。许多公司认为，应对这一挑战的办法是投入更多资金，并实施各种安全解决方案，试图防止攻击。
然而，网络犯罪分子通常得手，并非因为其攻击手段过于复杂，以至于能够骗过安全解决方案，而是因为企业根本性的安全问题仍未得到解决。例如，终端用户的不当行为（如未能识别钓鱼邮件）、供应链安全不足，以及流程上的失误：员工可能拥有合适的技术工具，却没有监控正确的警报，或无法关联各类事件并采取恰当行动。
因此，从本质上说，网络安全不是技术问题，而是业务问题，也涉及行为方式。组织需要采取不同的安全方法，认识到IT团队与公司高管的目标彼此相关。安全目标及实现目标的策略应由高层领导制定；还应将具体安全目标纳入员工绩效目标和供应商绩效评估，以推动行为改变。实施有效的安全计划，提高员工和合作伙伴的安全意识，有助于企业更好地保护资产和信息，避免安全漏洞带来的后果，从而实现业务目标。
弥合沟通鸿沟
那么，如何才能做到这一点？要消除IT部门与高管之间的沟通鸿沟，双方需要积极对话并持续互动。具体而言，IT团队必须让董事会成员了解安全漏洞可能对业务造成的影响，并帮助他们认识到，安全目标与业务目标可以在战略层面相协调。
不过，在做到这一点之前，网络安全人员需要花时间了解业务战略和目标，并制定能够支持这些战略和目标的安全策略。清楚展示安全与业务目标之间的联系，将大大有助于确保董事会和高管都能理解并愿意批准提升企业安全水平的举措。
世界经济论坛在网络安全领域开展了哪些工作？
网络安全中心为领导者搭建可信赖的平台，让他们共同理解不断演变的网络风险及其系统性影响。该中心致力于在互联日益紧密的数字世界中增进理解与信任。
通过推动跨行业合作与洞见共享，该中心帮助合作伙伴增强网络韧性，并应对需要集体行动的挑战。
与此同时，董事会和高管也需要向网络安全团队传达他们对安全的关切和优先事项。他们应理解，IT专业人员具有技术视角，因此需要为其提供战略指导与支持，同时清晰传达公司的业务目标。或许最重要的是，他们需要接受安全不足确实是一个业务问题，并据此安排优先事项。
最后还有一点值得记住：网络安全团队应向公司高管提交半年和年度信息安全报告，说明商定的安全目标是如何落实的，以及这些目标如何支持业务战略。这有助于董事会和公司高管了解安全预算的去向，以及企业因此获得的投资回报。
关系受损，但并未破裂
在许多公司，网络安全团队与高管常因优先事项和目标不同而意见相左，造成严重脱节，使公司内部出现分歧。但即使双方关系目前受到损害，也尚未破裂，而且可以修复。
与任何关系一样，在尝试修复沟通机制之前，双方都必须同意，现行方式无法持续下去。双方都应积极改变自己的做法，并理解对方的立场。
网络安全文化
在其著作《文化法则》中，约翰·柴尔德里斯写道：“你放任什么，什么就会成为文化。”
要真正发挥网络安全的作用，就必须让它融入组织文化的方方面面。沟通是弥合鸿沟的第一步，其中包括保持透明，并让讨论挑战、错误或误解成为常态。
只要双方都愿意有所付出、彼此迁就，用不了多久，这些曾经的对手就会成为最佳队友，共同推进相协调的业务与安全目标。
