盡管預算顯著增加，但對安全支出的錯誤預期給一些首席信息安全官帶來了問題。這是風險和網絡安全解決方案提供商BSS公司對150名安全負責人進行調查后得出的結論。調查發現，雖然大多數首席信息安全官都經歷了安全預算的顯著增長，但預算持有者為了實現不切實際的期望導致大量資金浪費，卻沒有在安全防御方面進行戰略性的、以業務為中心的投資。報告聲稱，這種缺乏理解的情況表明，需要做大量工作來確保信息安全得到應有的關注，尤其是在企業董事會。

根據BSS公司發布的《信息安全成熟度報告》，在受訪的182名安全主管中，只有一半以上企業的安全預算比去年有所增加，盡管與前一年發布的報告相比，安全預算增長幅度較低。報告發現，導致支出增加的關鍵因素包括網絡威脅形勢的演變(39%)、跟上同行的步伐(21%)以及在招聘和培訓方面的投資(18%)。

備受矚目的網絡攻擊事件之后，首席信息安全官獲得的預算大幅增加

根據BSS公司發布的名為《首席信息安全官如何在充滿挑戰的環境中取得成功》報告，總體而言，在BSS公司調查的安全主管中，61%的受訪者表示他們的安全預算有所增加，其中年度安全預算在50萬至100萬英鎊之間的首席信息安全官比例最高(73%)。大多數首席信息安全官表示，其平均增幅在10%到30%之間。報告稱，或許最能說明問題的是，78%的首席信息安全官表示，在發生數據泄露和勒索軟件攻擊等引人注目的網絡攻擊事件之后，他們獲得了額外的預算，這標志著企業對信息安全的態度正在發生變化。

然而BSS公司表示，由于預算增加，超過一半(55%)的首席信息安全官不得不將這些資金用于解決媒體報道的安全問題，而不是做出更具策略性的業務決策。BSS公司安全主管Chris Wilkinson表示，這通常是預算持有者在不完全了解企業面臨的威脅時具有不切實際的期望的表現。他說，“我們的研究表明，更廣泛的企業對當前的威脅形勢以及預算應該花在哪里缺乏了解，這是一個問題。”

網絡安全不是企業董事會的首要議程，而首席信息安全官在董事會中缺乏發言權

研究報告指出，網絡安全問題在企業董事會議程上往往不夠重要，加劇了這一問題。只有9%的首席信息安全官表示，信息安全始終是企業董事會議程的三大優先事項之一，不到四分之一(22%)的首席信息安全官積極參與業務戰略和決策過程。

BSS公司表示，為了實現這一轉變，首席信息安全官需要利用安全意識的提高來發揮自己的優勢。報告稱:“對于安全部門領導者來說，這是一個很好的機會，可以讓企業董事會了解最嚴重的威脅，以及這些威脅如果不加以解決可能對業務造成的影響?！?/p>

對于首席信息安全官來說，以一種富有成效的方式與企業董事會討論網絡安全問題可能是一項重大挑戰，如果不能有效地做到這一點，可能會導致企業董事、安全職能部門和企業其他部門之間的混亂、幻滅以及缺乏凝聚力。首席信息安全官在向企業董事會溝通時經常犯的錯誤包括使用過于技術性的安全語言，關注錯誤的威脅影響，未能為潛在問題做好準備，以及依賴開箱即用的網絡風險報告。

今年3月，英國國家網絡安全中心(NCSC)發布了《董事會網絡安全工具包》，其中包括旨在幫助企業董事會成員更有效地了解和管理網絡風險的資源。