董事会视角下的网络韧性
内容提要
随着网络入侵和技术故障增加，董事会在网络安全中的角色发生重大变化。董事会应关注网络安全监督、风险状况、资产保护和应对网络攻击的准备情况。此外，还应关注监管变化、第三方风险和网络安全度量。
延伸解读
董事会网络安全监督角色的演变
文章指出，随着网络入侵和技术故障增加，董事会在网络安全中的角色发生重大变化。董事会不仅需要关注传统的风险状况和资产保护，还需了解监管变化、第三方风险以及网络安全度量。研究表明，90%的公司网络安全成熟度未达到高级水平，这意味着大多数公司尚未建立有效防御高级威胁的能力。因此，董事会必须更深入地参与网络安全监督，确保组织有足够的准备应对网络攻击。
监管合规与全球运营的挑战
文章强调，全球监管环境不断变化，不同国家和行业的披露和隐私要求各异。例如，美国的CIRCIA和SEC网络披露规则对董事会提出了新的义务。对于在全球运营的公司，董事会需要了解各司法管辖区的具体法规，并将其纳入响应计划。由于法规协调进展缓慢，全球要求仍将存在差异，董事会必须确保公司能够满足不同地区的合规要求。
基于风险的网络安全策略与资源分配
文章建议，网络安全策略应基于风险而非历史基准。董事会应询问公司的风险容忍度，并确保资源分配与风险偏好一致。研究表明，许多公司网络安全投入不足，导致风险降低效果有限。董事会需要理解网络安全策略与运营模式的区别，并确保具备执行策略所需的能力。此外，第三方和第四方风险也是董事会需要关注的重点，因为供应链攻击可能对整个行业造成影响。
事件准备与演练的重要性
文章指出，董事会应积极参与网络安全演练，以了解公司的防御能力和事件响应程序。董事会需要询问事件响应计划是否经过演练、是否有外部法律顾问待命、事件指挥官是否明确等。调查显示，只有少数组织计划了系统恢复和重建。董事会应超越纸面评估，通过实际操作测试来验证安全控制的有效性，确保组织在真实攻击中能够有效应对。
Q&A
董事会在网络安全中的角色有哪些变化？
董事会的角色正在转变，需关注网络安全监督、风险状况、资产保护和应对网络攻击的准备情况。
公司在应对网络攻击方面的准备情况如何？
大多数公司在应对网络攻击方面准备不足，90%的公司未达到高级成熟度。
董事会应如何应对不断变化的监管环境？
董事会需了解新的披露和隐私要求，并将其纳入响应计划中。
网络安全如何成为公司的竞争优势？
董事会应将网络安全视为信任的基础，并相应进行投资，以此作为竞争差异化的因素。
董事会在网络安全演练中应扮演什么角色？
董事会应参与网络安全演练，以了解公司的网络安全程序和防御能力。
如何评估公司的网络安全成熟度？
公司应建立风险基础的网络安全视角，优先保护最重要的资产，并评估其网络安全能力。
