无论企业在网络安全上耗费多少费用，都不能确保不容易产生大事件。那麼，企业高級管理人员和董事会如何知道做些哪些才更有意义?
Michael Gabriel是Fortium Partners企业合作伙伴，做为企业技术性意味着，他加入了英国信息内容风险性联合会举办的一次大会。除此之外，也有来源于会计、人力资源管理、法律法规、生命安全、内部审计及其外界财务审计行业领域的一些高級管理人员参与了大会。外界财务审计说明，安全性工作人员必须向企业董事会详细介绍潜在性的网络安全危害。问题是，假如在管理人员澄清事实以前就传达了这一点，那麼所需做的便是造成她们的关心，不然很有可能无济于事。
Michael Gabriel表明，大家紧紧围绕怎样最佳地传达总体企业网络安全情况及其跨每个部门明确提出了一些问题，企业董事会必须尽早意识到这一点。无论网络安全状况怎样，都必须由外界财务审计向企业董事会给予简讯，而这也是有效和必不可少的对策。
Michael Gabriel调研了一些致力于互联网的大中型技术专业服务中心，这种企业都创建了网络安全方式，但从最开始的勤奋和维持的维护保养看来好像十分艰难，由于没人能给予大家要想传达的清楚角度。
必须根据时间维度来对待网络安全见解
如今，大家都了解最好根据一个明确的小故事传达见解。而我们的经验可能加强传达的见解，主要包括：
- 以往–就大事件来讲，大家经历了哪些?在这种事情中，大家学得了哪些，干了哪些?
- 现况–大家在新闻报道中听见的危害有关的风险性是啥?将怎么看待?
- 将来–根据业务流程方案和不断进步的危害，大家对将来必须担忧哪些?这对展望方案有什么危害?
为了更好地保证依据以往、如今和未来的见解给与适度的关心，必须不断升级情况，关键放到重要的业务流程危害指标值和方案上，最好在与企业董事会大会相连接的基本上开展。自然，这并不清除依据具体事情或觉察到的危害马上下发通知和付诸行动的概率，这种新项目将纳入下一次情况升级中。尽管这为大家的工作方式给予了時间角度，但并没处理专业化网络安全趋势需要的定位点。
明确网络安全风险性的基本是啥?
Rain Capital企业执行合伙人兼董事会组员王晨曦(Chenxi Wang)博士研究生带来了一个纲领性的问题，便是“大家究竟有多安全性?”因为它并不是根据一切评定架构的，反而是根据个人见解的建议。要掌握企业的安全防护情况，必须融合掌握企业的危害引流矩阵和评定网络安全风险性的基本。
王晨曦博士研究生强调，“网络安全风险性必须在企业遭遇的重大风险的情况下开展探讨。怎样评定这种风险性是不是必须董事会关心，应当应用相似的风险性架构，而且每6个月上下评定一次。”
权威专家提到的事例通常是为家中执行的安全性维护。例如家中中每一个屋子都布署激光传感器，例如浓烟、发热量、水、一氧化碳、健身运动探测仪和监控摄像头，每一个屋子选用全天监管，可是并无法确保住宅不容易被打劫，不容易起火，也不会被水灾吞没。尽管买商业保险可以填补一些损害，但屋主的日常生活可能遭到比较严重终断，很有可能丧失一些宝贵的贵重的物品。可是，屋主可以根据必须保障的信息决策必须开支保费。
从项目视角看来，这的确没什么不同。根据法律服务合同，企业的业务流程会得到国家法律维护，免遭第三方互联网事情的危害，并在会计上遭受互联网保险的维护，可是即使选用这种保障措施，企业的信誉会遭到哪些危害?在开展弥补以前，它将怎样危害企业已经开展的步骤或顾客或业务流程关联?
企业的业务流程风险性和必需维护将依据其业务类型而各有不同。企业必须决策什么财产(数据信息、系统软件浏览等)必须维护?假如这种财产损伤会有哪些危害?
Gabriel表明，例如新闻媒体集团公司有一些不一样的业务流程，而定阅电视机/播放业务流程遭遇的风险性有别于最新的新闻组织，广告宣传适用的广播节目互联网，电视机和电影制作公司。虽然在所有机构里都有规范的网络信息安全对策，可是他们在每个各个部门中的有关水平却各有不同。
企业必须维护什么财产?
管理人员必须考虑到针对企业真真正正关键的事儿。必须考量的一些行业包含：
- 顾客信息内容(不论是企业内部结构或是第三方管理方法)
- 政策法规遵循性(包含州和美国联邦政府，中国和国际性)，例如PII、PCI、GDPR、CCPA、HIPPA等。
- 供应链管理(数据或别的)
- 知名品牌信誉(包含社交媒体危害及其针对群众或B2B的网址)
- 知识产权，包含发展战略和方案
- 员工信息(包含信息保密的第三方人员信息)
- 非公布会计和合同信息
要发觉这一点，必须与每一个单位的任何业务流程责任人及其企业的外界会计师事务所开展讨论。企业管理人员务必可以创建自身的信赖关联，为业务流程给予协助，而风险性承受力是业务流程管理决策，管理人员可以给予具体指导。
随后，企业必须掌握网络安全架构和规范。可以考虑到下列一些规范，但提议归纳这种规范以传达引言等级的情况，并以一种方法传达现阶段和将来网络安全方案的潜在性业务流程和会计危害：
- 网络安全核心(CIS)重要安全管理(CSC)
- 英国行业标准与技术性研究室(NIST)的网络安全架构(CSF)
- SANS前20个控制
- 欧盟国家的GDPR(通用性个人信息保护政策法规)
- 美国加州的消费者保护法(CCPA)
- ISO 27000系列产品(国际海事组织(ISO)和国际标准化组织(IEC))
- 英国企业执行董事研究会(NACD)网络安全规则
资产对企业的网络安全风险性有什么危害?与同行业对比怎样?
财务尽职调查针对明确企业的网络安全影响力尤为重要，企业的首席财务官可以起到主要功效。
领域中通常会出现一些相关开支的领域手册，例如金融信息服务单位网络安全环境变量，可用以开支评定。那麼会依据她们将会有着的基础知识来讨论对其审计公司及其重要网络安全企业来讲哪个更有意义。
可是从这种视角看来，预算支出怎样危害企业状况?假如企业的首席财务官、首席战略官或董事会问下列这种问题，那麼将怎样回复?
- 是不是须要大量资产用以网络安全方案，假如要将怎样减少风险性?
- 假如规定企业的网络安全费用预算减少10%，这是不是提升风险性?
那麼必须费用是多少资产?是不是准许该要求以获得大量資源，或是是新的人工智能技术/人工神经网络危害防御力专用工具?从项目视角怎样传送风险性?认可的出色实践是应用根据安全风险的方式，该方法致力于明确采用恰当的防范措施的成本费是不是非常值得潜在性的风险性危害。它可以是一个简洁的四象限角度，例如在一个轴上的风险性从低到高，而另一轴上的费用从低到高，而且可以协助企业评定比较有限的开支应当运用在哪儿。
但是，正如Michael Gabriel在IBM管理层例会上认识到的那般，大家通常依据目前的可预测性来决策将来的可变性。David Rock博士研究生在领域新闻媒体上刊登的文章内容适用了这一点：“通常大家的脑部期盼可预测性，并像防止痛楚一样防止可变性”，这篇文章提及了如何处理可预测性与可变性的标准。大家专注于全自动防止可变性，并表明了为何钟爱所认识的现阶段事情而不是不好的事情。它说明了现阶段财务成本提升的摩擦阻力，及其什么时候产生网络安全事情对其会计危害的可变性。
在这儿，有很多总裁网络信息安全官的事例，有些人问她们是不是会在今年或两年内再度明确提出对附加資源的规定。她们并不会表明内部结构和外界要素都是会有影响。因而提议她们保证传达规定的缘故，这也是企业操纵的事情，例如回收和融合成本费使它们的新业务流程提升了安全系数?是我想的太多，则要决策这种变更是不是有效，由于它是业务流程管理决策。或是有新的服务拓展(例如立即面对顾客)对网络安全造成危害?或是必须维护新的运营地址?企业必须觉得自身对这种管理决策有着一定的决策权。仅有根据合理的评定架构，并掌握潜在性的网络安全事情和保护性减轻成本费对项目的危害，才可以保证这一点。
因为产生某类种类网络安全事情的几率很高，因而企业还必须为事情回应做好充分的准备——实际操作、法律规定和朝向群众。全部这种都是会遭受特殊事情、业务类型、技术性构造、第三方相互依赖及其不一样种类的网络安全事情的不确定性危害。这也能用以上相近的根据安全风险的办法来解决。
除非是企业认真完成网络安全，不然将落入资产的超级黑洞。企业管理人员必须作出衡量和艰难的选择。必须准备好回应相关机构的网络安全生命周期和为管理方法新产生的危害而创建的架构的问题。应保证网络安全情况的架构与管理方法别的业务流程安全风险的方法相近，即潜在性安全事故对业务流程资金的危害。
与企业首席财务官、首席战略官及其总裁法律法规官(内部结构或外面财务审计)协作，以协助因此给予根据。例如首席信息官、首席技术官、总裁网络信息安全官等管理层有义务以业务流程专业术语简约地表述潜在性风险性和减少风险性。虽然有一些管理层不太喜欢见到网络安全问题被处理完毕，但对于此事置若罔闻可能遭遇风险性。以业务流程可解释的视角承担责任地传达此信息内容，并创建适度的相关者适用，这也是企业的义务。