现代网络风险已十分严峻，其影响远远超出信息安全团队的职权范围，涉及治理、隐私和企业文化。
近期备受关注的数据泄露事件表明，网络安全漏洞可能给大型企业的品牌和资产负债表造成多大损失。
总法律顾问对于帮助企业领导者制定治理机制至关重要，既要保护信息，也要确保隐私、生产力和合规性。
现代总法律顾问是董事会应对网络风险的重要盟友
网络风险可能对企业造成毁灭性影响。正如我们经常看到的，网络安全漏洞会导致知识产权、个人信息等重要数据丢失，并招致巨额罚款和法律责任。
管理和降低网络安全风险的责任历来主要由信息安全团队承担，通常由首席信息与安全官（CISO）领导。然而，受托责任最终由董事会承担，而不只是CISO和首席执行官。
所幸，董事会有盟友和顾问。随着风险日益严峻，安全领域的范围也不断扩大，其影响波及现代企业高管团队。总法律顾问在指导组织应对网络风险管理的重重挑战方面变得至关重要，职责涵盖安全产品与服务的实施、漏洞调查与响应、监管报告，以及就新兴最佳实践和标准向董事会提供建议。
总法律顾问办公室应成为董事会的重要盟友，帮助其了解快速演变的风险格局，并有效决策以管理网络安全、遵守法规和确保沟通透明。
2013年，雅虎遭遇大规模网络安全漏洞，导致30亿个电子邮件账户信息泄露，当时受影响账户数接近全球人口的一半。此次漏洞本已造成严重影响，而雅虎应对不力且未披露数据泄露事件，导致的财务损失和处罚远超漏洞本身的成本：2017年，Verizon将此前商定的雅虎收购价下调3.5亿美元至44.8亿美元；截至2018年4月，美国证券交易委员会（SEC）因雅虎未披露该漏洞，对其处以3500万美元罚款；同年9月，该公司又就一项派生诉讼达成和解，支付4700万美元解决集体诉讼。
雅虎只是过去几年我们看到的众多头条网络安全漏洞事件之一。只要问问益百利（Equifax）（5.75亿美元）、优步（Uber）（1.48亿美元）和第一资本（Capital One）（8000万美元），就能了解它们因不当处理网络安全漏洞而遭受的经济处罚。结论很明确：未能有效管理网络风险的企业，其品牌和资产负债表会遭受严重损失，可能需要数年才能恢复，甚至永远无法恢复。
公司董事和企业领导者必须以整体视角看待网络风险，将治理、员工隐私和企业文化纳入考量。鉴于数字互联的重要性日益提升，这些问题远远超出信息安全团队的职权范围和技术资源所能涵盖的范畴。相反，它们必须纳入对整体风险状况的评估，以支持董事会作出有效决策。
董事会必须让更多利益相关方参与其中，尤其是总法律顾问，以支持风险管理决策。总法律顾问履行公司秘书顾问职责，能够就新兴标准提供建议，搭建董事与安全团队之间的桥梁；更重要的是，帮助将网络安全融入业务战略，建立信任、保障隐私并创造价值。
单靠技术解决方案无法保证抵御现代风险
作为企业合规的守护者，法律事务负责人可以就董事会应如何看待网络风险，以及高管领导者如何应对网络事件提供指导。他们是董事与首席执行官，以及人力资源、企业安全与产品安全、IT、销售、工程、企业传播和投资者关系等职能部门负责人的桥梁。
网络安全领域不断演进，力求跟上迅速扩大的威胁版图。要抢占先机，必须采用能够了解人员与数据交互情况、持续监控、衡量风险并在数据丢失前自动响应的网络安全技术。总法律顾问在确保这些工作履行监管义务方面发挥着关键作用。没有总法律顾问的参与，即便是最好的技术解决方案也无法保证万无一失。
在政府和私营标准机构的推动下，评估和应对网络风险的方法不断演进，信用评级机构、投资者和保险公司也参与其中。随着能够适应风险的新技术被纳入网络安全体系，高管层必须了解其对隐私的影响。
在当今环境下，总法律顾问可以帮助董事会和企业高管团队建立治理机制和控制措施，在保护重要机密信息与确保生产力和合规性之间取得平衡。
这可能意味着制定政策，明确在调查意外或恶意的数据泄露或盗窃事件时，谁有权访问员工的个人身份信息，从实习生到首席执行官皆在其中。这还意味着要追问：安全分析师掌握的信息，与董事、CISO、首席执行官或公司法律顾问掌握的信息有何不同？
董事会和员工希望了解哪些个人数据正在被访问、使用、存储和删除。总法律顾问可以帮助建立治理规程，指导首席执行官和CISO调查并应对可能发生的员工、客户或合作伙伴数据内部泄露。一旦发生数据泄露——问题在于何时发生，而非是否发生 ——法律顾问可以推动调查流程，并向监管机构履行披露义务，以避免或减轻罚款和诉讼带来的进一步风险。
世界经济论坛在网络安全领域开展了哪些工作
网络安全中心提供一个值得信赖的平台，让领导者齐聚一堂，理解不断演变的网络风险及其系统性影响。中心致力于在日益互联的数字世界中增进理解与信任。
中心通过推动跨行业协作和见解分享，帮助合作伙伴增强网络韧性，并应对需要集体行动的挑战。
总法律顾问是连接其他内部领导者的重要桥梁
历来，网络风险评估和面向董事会的汇报一直由CISO独自负责。然而，这种做法存在重大局限，因为它将网络安全决策与其所服务的业务割裂开来。毋庸置疑，CISO仍是组织内首要的网络安全专家，而总法律顾问则能发挥必要的纽带作用，以更全面的视角管理风险。
企业高管团队不断发展，纳入专注于数据安全、隐私和信任的领导职位。十年或十五年前，CISO这一职位尚不存在。如今，我们看到CISO获得更高的地位，能够直接参与决策，并直接向审计委员会和整个董事会汇报。
法律、业务和安全领导者在网络安全风险高企的环境中建立的合作关系，将帮助企业在快速转型和数字颠覆的非凡时代中向前迈进。
