对国内的许多用户来说，首席安全官（CSO）还不是一个非常熟悉的名词。但是相信用不了多久，CSO就将成为一个我们非常熟悉的职位。

 

什么是首席安全官/首席信息安全官？

对国内的许多用户来说，首席安全官（CSO）和首席信息安全官（CISO）还不是一个非常熟悉的名词。但从发展的角度，相信这两个名词将迅速为大家所熟悉。
首席安全官（CSO）负责整个机构的安全运行状态，既包括物理安全又包括数字信息安全。CSO负责监控、协调公司内部的安全工作，包括信息技术、人力资源、通信、合规性、设备管理以及其他组织，CSO还要负责制订安全措施和安全标准。CSO需要经常举办或参加相关领域的活动，如参与跟业务连续性、损失预防、诈骗预防和保护隐私等相关议题的活动。
首席信息安全执行官即CISO，负责整个机构的安全策略。首席信息安全执行官需要经常要向CIO（首席信息官）汇报，有时甚至直接向CEO（首席执行官）进行汇报。
当然在现实生活中，首席安全官和首席信息安全官的角色经常是交互的。

为什么需要首席安全官？

显然，相对于CEO和CIO来说，CSO/CISO都是新近出现的新职位。那么，为什么需要首席安全官？该“行当”是如何形成的？为何首席安全执行官变得不可或缺？
其实，总体说来，是各种因素促使各种安全问题纠集在一起，需要由一个单独组织进行统一保护。
◆在战术层面上，技术要素正在被注入到物理安全工具中，并且这些工具不断被数据库技术和网络技术所驱动。
◆在战略层面上，CEO和公司董事会根据一些法规，如萨班斯﹒奥克斯利法案，从企业高度对风险进行控制。
◆在实际操作层面上，CSO统一管理安全问题，可以显著降低运营成本。

首席安全官的角色和工作职能是什么？

安全策略通常需要根据企业的不同需求而有所改变，尽管不同的企业需要不同的安全策略，不过对于CSO来说，安全策略通常都必须包括以下职能：
◆对安全机构和服务提供商进行监控，由服务提供商负责保护企业资产、知识产权和计算机系统安全。
◆确定保护目标和保护制度与公司的战略计划保持一致。
◆制订及执行区域以及全球的安全政策、安全标准、指导方针和执行程序，以保证持续解决安全问题。信息保护职责包括：网络安全结构、网络访问和政策监控以及员工培训等等。
◆像调查安全缺口那样全面监控事件响应计划，如有必要必须帮助安全缺口部门完善培训计划和法律方面的事宜。
◆像独立安全审计顾问那样，与外部安全顾问一起工作。
◆制订全面的风险管理策略，并确保策略的执行。了解当前以及未来可能存在的风险，并且在必要时根据风险和威胁的变化及时调整策略。
◆全面监控产品的内部使用，并且确保工程小组与操作小组保持沟通，在产品出现问题时以便及时发现并解决问题。
◆进一步完善灾难恢复/业务连续性策略，通过每一个业务单元的共同努力，确保我们拥有一个整合性良好的计划和策略。
◆物理安全责任，包括资产保护、工作场所危险防护、访问控制系统以及视频监控措施等。

如何衡量首席安全官的工作？

作为一个新职位，CSO要注意以下这些方面才能确保自己成功：
◆从提高受众意识水平和了解受众想法入手，提高企业在区域及全球的安全状况视。
◆把提供安全作为一种资源和检查手段，不要因此而影响到企业的正常运转。
◆启动能够对整体的企业产生巨大影响的关键项目。
◆通过考虑企业的优先等级、资产和GAP分析，确定企业整体风险和安全计划的范围。
◆避免安全问题成为阻碍企业内部生产力发展的瓶颈。
除此以外，CSO还要避免犯以下的错误：
◆认为安全问题仅仅是技术问题；
◆试图将宏观问题与微观问题作对比；
◆猜测用户对安全问题感兴趣；
◆猜测用户对安全问题很是了解的。