团体：网络安全需要超越IT问题

根据周一发布的一份新报告，许多企业需要扩大专注于IT以外的网络安全的内部部门数量，由首席财务官领导的跨学科团队致力于评估和减少网络风险。 >尽管IT部门应该继续担任网络安全工作的主要角色，但报告称，在网络安全漏洞发生之前，首席财务官和法律，风险管理，人力资源，公共关系和其他部门需要参与有关风险的决策。它是由互联网安全联盟（ISA）和美国国家标准学会（ANSI）发布的，该组织是一家致力于为美国行业制定标准的非营利组织。

两个贸易组织发布了报告“网络风险的财务影响“通过一系列的研讨会，超过30个组织参加了。与会者代表了多个公司部门的观点，涉及的组织包括IBM，洛克希德马丁，Crimson安全公司，州农场保险公司，卡内基梅隆大学软件工程学院以及美国司法部，商务部和国土安全部。

深入阅读：如何从Windows PC中删除恶意软件]

“本次研讨会很快得到的教训是，网络安全一直被一些公司视为IT问题，这不仅仅是一个IT问题，”Ty说。美国国际集团（AIG）一般保险产品开发总裁兼研讨会负责人Sagalow。 “就像这不仅仅是一个法律问题需要由总法律顾问来解决，就像它不仅仅是一个声誉问题或者公共关系负责人要解决的沟通问题一样。”

这份报告的副标题是“每个首席财务官都应该问的50个问题“，建议企业首席财务官如果还没有专注于网络风险，他们就会大量参与。萨加洛夫说，首席财务官可以看到增加IT支出的大局和预算，如果需要的话，或者网络安全保险或其他部门的更多资源。他还表示，首席财务官需要了解潜在的金融风险以防止泄密事件发生。

被问及是否有些首席信息官或IT部门负责人会看到首席财务官和其他部门越来越多地参与到他们的工作中，专案组成员制作报告的人说他们不应该这样做。信息技术标准国际委员会信息技术安全最佳实践小组主席兼软件架构师Edward Stull表示，许多IT部门已经认识到他们只是网络安全问题解决方案的一部分。

许多IT部门资金不足，增加了ISA总裁Larry Clinton。他表示，CFO的更多关注可能会导致额外的资金投入和对IT需求的额外关注。

为什么报告建议法律和公共关系部门参与网络风险决策，这可能是显而易见的。但是，即使人力资源也可以发挥作用，因为估计有70％的违规行为来自组织内部，Stull说。

根据报告，首席财务官应该询问部门负责人：

- 是否有公司分析了我们的网络可用性？

- 违规后我们可以在集体诉讼中被命名为什么？

- 我们收集个人信息是否有正当理由？

- 什么是我们最大的网络可用性是什么？

- 我们是否有一个有文件证明和积极主动的危机沟通计划？根据美国国会研究服务机构2004年的估计，美国网络攻击的年度经济影响约为2260亿美元。报告工作组成员表示，现在是企业以新的方式审视网络安全问题的时候了，涉及多个部门参与这个问题。 “如果公司将网络安全视为IT问题，那么我们就不会像我们那样安全，”萨加洛说，“

ISA和ANSI相信该报告反映了一种新的关注网络安全和网络风险的方式，他补充说。“网络安全不是IT问题，”克林顿补充道。 “这是企业范围内的风险管理问题，影响到组织的各个方面。”