培育強大的網絡安全文化被業內人士視為創建強大而健康的安全計劃的基本要素，然而，TechTarget的企業戰略小組和信息系統安全協會(ISSA)最近的研究發現，許多CISO認為，公司在其組織內建立適當的網絡安全文化方面還有很長的路要走。

究竟什么是網絡安全文化?歐洲聯盟網絡和信息安全局(ENISA)提供了以下定義：

“網絡安全文化(CSC)的概念是指人們關于網絡安全的知識、信念、感知、態度、假設、規范和價值觀，以及它們如何體現在人們使用信息技術的行為中。CSC涵蓋了熟悉的主題，包括網絡安全意識和信息安全框架，但在范圍和應用方面都更廣泛，致力于將信息安全考慮作為員工工作、習慣和行為的組成部分，并將其嵌入到他們的日常行動中。”

換句話說，網絡安全文化促進網絡安全成為實現組織總體使命的必要組成部分。事實上，研究顯示，CISO認為網絡安全文化與威脅預防、檢測和響應方面的安全最佳實踐有著不可阻擋的聯系。當被問及如何從整體上改進組織的網絡安全計劃時，60%的受訪CISO表示，他們應該努力在整個組織內創建更好的網絡安全文化，而其他受訪者中這一比例為42%。

值得注意的是，CISO還認為，通過讓高管和董事會更多地參與網絡安全決策和監督，增加網絡安全預算，以及改善安全衛生和態勢管理-所有這些都是強大的網絡安全文化的組成部分，他們的網絡安全計劃可以得到改善。

大多數CISO認為需要改善網絡安全文化

這些數據還指向了未來的工作。雖然超過三分之一(36%)的CISO將其組織的網絡安全文化評價為先進(略高于所有其他受訪者)，但34%的CISO認為其網絡安全文化水平為平均水平。令人擔憂的是，30%的受訪者幾乎沒有這么積極，他們將組織的網絡安全文化評為公平或糟糕。

鑒于網絡安全文化的重要性，數據似乎表明首席信息官與其他企業高管之間存在脫節。不幸的是，這似乎是CISO的一種職業危險。當被問及他們是否曾在故意忽視安全最佳實踐或合規要求的組織工作時，超過三分之二(68%)的CISO回答說他們至少為一個這樣的組織工作過，而所有其他受訪者的這一比例為57%。

CISO希望企業高管和他們自己的團隊在網絡安全方面發揮更大的領導作用

作為調查的一部分，受訪者被要求就他們的組織如何改善他們的網絡安全文化提出建議。雖然CISO的建議通常與其他網絡安全專業人員相似，但CISO的回應在某些領域很突出。例如，CISO希望安全團隊參與所有業務規劃，以便他們可以構建威脅模型并實施正確的控制，他們還希望業務經理對其業務部門內的網絡安全承擔更多責任，使他們在安全團隊的支持下成為偽業務信息安全官(BISO)，這可能有點技能限制，但可以肯定地說，CISO希望與業務經理達成妥協，使特定的業務流程與正確的風險緩解、網絡防御和監控監督保持一致。

總體而言，CISO建議組織的其他成員，特別是高管和董事會，更加認真地對待網絡安全。值得注意的是，CISO并不是簡單地將文化缺陷歸咎于他人。事實上，40%的受訪者希望提高員工與公司董事會在指導這些變革方面的參與度。僅此一點就說明了CISO對其使命的獻身精神。

顯然，網絡安全文化有賴于企業高管的強有力領導。不幸的是，數據表明，CISO和公司董事會之間的關系是復雜的。當被問及如何描述他們與董事會的工作關系時，40%的CISO說一般或差——這是一種有害和危險的情況。為了糾正這一點，60%的CISO建議增加CISO與執行管理層和公司董事會的參與，包括參與所有業務規劃和戰略。

企業戰略組織和ISSA的研究揭示了兩個相反和令人擔憂的情況：

• 信息和通信技術組織認為，強大的網絡安全文化是一種最佳做法，可以極大地幫助他們完成及時、有效地預防、發現和應對網絡威脅的任務。
• 許多組織的網絡安全文化滯后于它應該(和需要)的水平。

雖然CISO似乎已經準備好充當變革推動者，但他們可能會在推動這一事業方面獲得一些外部幫助。SEC最新的網絡安全風險管理規則、紐約州金融服務部規則(23 NYCRR 500)以及歐盟即將發布的NIS2指令等新法規對企業提出了額外的網絡安全要求，包括董事會/高管的責任和網絡安全文化要求。

可以肯定的是，在持續的網絡威脅、經濟損失和這些新法規之間，許多企業將把改善網絡安全文化作為2024年及以后的優先事項。