网络安全治理

网络安全治理 涵盖董事会对网络风险、战略和事件响应的监督，人们日益认识到网络威胁对运营、财务、声誉和利益相关方信任构成重大风险，需要董事会层面的关注。¹ 据估计，2024年网络攻击给全球企业造成约8万亿美元的损失，勒索软件、数据泄露和供应链攻击导致运营中断、监管处罚、诉讼和声誉损害。通过包括SEC网络安全披露规则、上市标准、投资者参与以及凸显治理失败的高调违规事件在内的监管要求，董事会的网络安全监督已得到加强。有效的网络治理要求董事会具备网络素养、定期进行风险报告、制定事件响应计划，并将其与企业风险管理相结合。

董事会职责

董事会在网络安全监督方面负有具体职责。² 风险监督：了解网络威胁态势、公司风险状况和风险偏好。战略监督：审查网络安全战略、资源分配以及与业务战略的一致性。事件响应监督：确保事件响应计划的存在、经过测试，并建立董事会通知协议。合规监督：监控包括数据保护法在内的法规遵从性。人才监督：确保拥有足够的网络安全领导力和人员配置。第三方风险监督：处理供应链和供应商的网络风险。报告监督：审查向投资者和监管机构披露的网络风险信息。

董事会网络素养

有效的监督要求董事会具备网络素养。³ 网络风险理解：包括常见威胁、攻击媒介和潜在影响。控制框架知识：了解网络安全控制措施、框架（如NIST、ISO 27001）和评估方法。事件响应：了解响应流程、决策点和沟通要求。监管环境：了解数据保护、违规通知和披露要求。网络安全保险：了解保险范围、除外责任和风险转移策略。教育方法：包括董事培训、外部专家讲座和桌面演练。

组织结构

网络治理需要适当的组织结构。⁴ 董事会委员会监督：通过审计委员会、风险委员会或专门的技术/网络委员会进行。管理层结构：首席信息安全官向首席执行官或首席风险官汇报，并能接触董事会。跨职能协调：在IT、法律、合规、风险和业务部门之间进行。外部专业知识：通过顾问、咨询公司和威胁情报提供商获取。报告节奏：定期向董事会汇报，并对重大事件立即升级上报。

披露与透明度

网络风险披露正在通过监管要求不断发展。⁵ SEC网络安全披露规则（2023年）要求重大网络安全事件在四个工作日内披露，并每年披露网络风险管理、战略和治理情况。风险因素披露：在年度文件中描述网络风险及潜在影响。事件披露：在发生重大违规事件后，按照时间和内容要求进行披露。保险披露：关于网络安全保险覆盖范围。挑战：包括确定重要性、在透明度与安全关切之间取得平衡，以及避免为攻击者提供路线图。

延伸阅读

NACD网络治理资源。NIST网络安全框架：nist.gov/cyberframework。

参考文献