网络安全已不再只是IT或合规高管的职责，而是影响所有董事会成员的问题。
美国证券交易委员会(SEC)正在提高对网络安全信息披露的要求，因此董事会必须充分了解网络风险及应对措施，并保持知情。
NACD新推出的网络风险报告服务将帮助企业应对监管责任，并实时掌握网络风险。
美国证券交易委员会(SEC)的新规则使网络风险报告和业务韧性规划成为有效董事会治理的关键组成部分。今年早些时候，SEC发布了一项拟议的网络安全信息披露规则，以推进网络风险的风险管理与治理工作。
据SEC表示：“SEC正拟订规则，以加强和规范上市公司在网络安全风险管理、战略、治理以及网络安全事件报告方面的信息披露。这些公司须遵守《1934年证券交易法》的报告要求。具体而言，我们拟修订相关规定，要求及时报告重大网络安全事件。我们还拟要求定期披露注册人在识别和管理网络安全风险方面的政策和程序、管理层在实施网络安全政策和程序中的作用，以及董事会在网络安全方面的专业知识（如有）及其对网络安全风险的监督情况。”
网络安全：董事会的职责
这些近期进展使美国上市公司在网络风险和事件的管理与披露方面受到更多关注。这也凸显了在董事会层面推进风险管理、业务韧性和治理工作的重要性，以确保资源和投资投向那些对财务、业务和运营影响最为重大的网络风险。
世界经济论坛与美国全国公司董事协会(NACD)发布的《网络风险董事会治理原则》洞察报告指出，这是一个需要主动应对的董事会层面议题，尤其是考虑到网络风险可能带来的财务影响。
随着监管关注度提升，董事会必须确保分配给网络安全风险的预算与有效缓解潜在影响相匹配。在缺乏业务影响背景的情况下设定安全预算的时代已经结束。
世界经济论坛在网络安全方面开展了哪些工作？
网络安全中心为领导者提供可信平台，共同理解不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中建立理解与信任。
通过促进跨行业合作与洞察分享，该中心帮助合作伙伴增强网络韧性，应对需要集体应对的挑战。
沟通的重要性
有效沟通是商业取得积极成果的基石。为讨论复杂的网络风险问题，建立共同语言对实现业务韧性至关重要。这需要将充斥着细微安全术语的混乱技术讨论，简化为易于理解的财务风险敞口分析，从而阐明网络攻击在短期和长期内如何对组织造成财务威胁。
对董事会而言，他们无需成为网络技术专家（尽管技术认知可能有所帮助）。他们需要将网络风险视为重大的商业财务风险，并理解其对业务可能产生的重大影响。
这将确保监督工作把围绕网络安全的技术讨论转化为采取措施建立业务韧性的讨论。董事会可以持续开展有效监督，确保管理层制定战略并调配预算，以证明风险已得到缓解、财务风险敞口已降低。
在制定网络韧性计划时，董事会最好向管理层提出以下问题：
我们面临的网络威胁可能造成多大的财务风险敞口？
哪些网络威胁最有可能对我们的业务造成重大财务影响？
在整个企业及数字供应商生态系统中，我们愿意承担多大的财务风险敞口？
我们如何协调预算、实施控制措施、制定战略并优化风险转移，以应对网络风险敞口？
我们的数字化举措是否以具备网络韧性的方式推进？
网络风险是所有高管层共同讨论的议题
Chris Hetner是前SEC高级网络安全顾问，也是纳斯达克董事会卓越中心洞察委员会成员，他表示：“董事会必须持续纳入网络风险管理讨论，探讨以何种最有效的方式降低与网络风险相关的财务和业务影响。这一讨论不应仅限于首席信息官(CIO)和首席信息安全官(CISO)。这是一项更广泛的高管层讨论，应由首席财务官(CFO)和总法律顾问牵头。”
Hetner表示，网络安全未能在董事会层面留下印记的情况已不复存在，他指出：“高管的默认倾向是依赖定期的战术性和技术性报告，来证明技术解决方案的合理性，而这些方案可能只解决技术层面的安全问题。”他还补充道：“在与董事会成员和高管层沟通时，网络安全往往在转译中被遗漏。这使得领导层无法确切了解其资金投向何处，以及仍存在哪些剩余风险缺口。”
Chris与NACD近期支持推出了一项开创性服务，帮助董事会更有效地监督网络风险敞口。X-Analytics与NACD网络风险报告服务是一项年度订阅服务，每季度提供董事会报告，重点说明归因于组织网络风险的财务风险敞口。该平台采用与网络保险行业领导者所使用的相同分析方法。
这项NACD新服务有助于推动更广泛的高管层关于网络风险的讨论，并协助董事会开展超越网络安全技术层面的讨论。
网络风险管理是一项团队运动，需要企业全体成员共同努力以确保业务韧性。这一工作以集体分析为驱动，从而支持包容性的沟通与协作。首席信息安全官(CISO)是企业网络韧性战略的关键组成部分，但已不再是网络领域唯一的责任人。目前需要的是一种更具包容性的沟通与协作，涵盖所有企业风险管理负责人。
SEC的新规则旨在以有意义的方式让高级管理层和董事会参与其中。这些近期进展使美国SEC上市公司在网络风险和事件披露方面受到更多关注。这些进展也凸显了在董事会群体中推进风险管理和治理工作的重要性，以确保资源和投资投向那些对财务、业务和运营影响最为重大的网络风险。
