为什么CISO和法律部门在公司被黑客攻击时需要达成一致媒体

CISO的艰辛生活

关键要点

首席信息安全官CISO的角色面临许多挑战，常常被视为成本中心。预算短缺和有限的影响力使CISO在复杂业务决策中处于劣势。过去发生的丑闻显示出CISO在公司安全决策中的脆弱地位。强调法律和安全团队之间的合作对于有效处理网络事件至关重要。

首席信息安全官CISO的生活常常充满挑战。预算不足、被视为成本中心以及在对安全产生影响的重大商业决策中影响力有限，使得CISO在组织内部面临巨大的压力。一旦出现严重的安全漏洞或事故，执行领导和公众往往首当其冲将矛头指向CISO。

去年发生的两起事件印证了这一现状：前优步首席信息安全官乔沙利文因阻碍对2016年公司 ransomware 攻击的联邦贸易委员会调查而被定罪，以及前推特安全负责人Peiter “Mudge” Zatko 提交的举报投诉，指控该社交媒体平台存在严重的安全隐患和漏洞，而这些问题被高层领导忽视。

在2023年RSA会议上，多位专家强调，公司安全团队和法律团队之间的更好协调可以帮助企业在确保良好商业运作的同时维护安全。

点击这里查看SC媒体对RSA大会2023的全部报道

RLEX的CISO Robin Sundaram表示，在网络事件发生后寻找替罪羊的冲动非常强烈，尤其是当破坏严重时，股东和高管们更会要求拿出更高的“头颅”。他说：“我亲眼见到，当出现令人震惊的事件时，第一反应就是‘谁犯了错，我们是否应该开除他们？’”

这种现实使许多CISO始终处于压力之下。由于缺乏预算和对公司不安全操作的权力，令CISO的任期通常只有26个月，而CSuite高管的平均任期却约为五年。

为什么CISO和法律部门在公司被黑客攻击时需要达成一致媒体

Blackbaud的首席法务官Jon Olson对此局势十分了解。去年，他所在公司被迫向证券交易委员会支付300万美元的和解款，因其在2020年的一次 ransomware 攻击后误导该机构关于事件影响的声明。最初，公司的声明称攻击者并未获取捐赠者的银行账户信息和社会安全号码，但几天后公司内的IT调查人员发现事实并非如此。

他表示，这一事件促使Blackbaud的法律部门和CISO办公室进行了一次重要的变革，承诺在未来的网络事件中更好地进行沟通和协调，以确保在满足法律义务的情况下进行事件调查。

“在过去的几年中，我见证了这两个部门的关系从原本的初步接触发展成非常紧密的合作关系，” Olson说。