选自公众号：信息安全D1net（企业网D1Net）

原文链接：https://mp.weixin.qq.com/s/rlm1xGrsw2sMUUsGrzY8_g

在日益增长的威胁环境中，CISO强调了网络安全团队需要理解并使用业务语言的重要性，并以战略眼光推动更大的客户和利益相关者价值。“这不是一个适合弱者的职业。” 这也是为什么这份职业如此令人振奋的原因，它不仅需要技术技能，还需要更多的能力来成功应对这一领域的挑战。

北极星：将网络安全与企业使命联系起来

凭借对企业的全局视角，网络安全企业处于一个独特的位置，能够预见问题和需求，影响业务战略，并主动推动业务变革和影响，然而，许多网络安全专业人士仍然埋头于细节，缺乏对自己在推动业务使命中所扮演角色的认知。最优秀的CISO会有意确保他们的团队理解自己的使命及其与业务的联系，这是他们如何将职能提升到超越战术执行者或值得信赖的顾问，成为具有前瞻性和创新性的合作伙伴的一部分。

ELC的Noaman一直将培养这种业务优先的意识作为其企业的重点。她说：“我告诉他们，无论你扮演什么角色，你都是拼图的一部分，没有这块拼图，拼图就不完整。你必须知道自己在拼图中的位置，这样才能说，‘如果我没有完成这部分工作，我们就无法实现那个目标。’了解你的位置，了解你所做的工作如何为最终目标做出贡献，这一切都至关重要。”

她表示，这种心态体现在团队成员与业务同事的互动方式中。他们不仅考虑所处理问题的价值，还考虑其总体使命，即以客户为中心的安全。

最终，她表示，这一切都是关于建立共识，而建立共识的首要利益相关者就是你的团队。

“Noaman说：“当你让他们理解你要实现的‘北极星’，也就是为什么要这么做——他们了解安全方面的原因，但他们是否理解业务方面的原因——这就是让他们专注并有动力朝同一方向前进、以相同速度划桨的关键。你必须告诉他们最终目标是什么。”

用业务语言沟通

以使命为导向、作为业务推动者出现是建立信誉并获得关键安全举措支持的关键，但如果你不懂业务语言，就无法与业务伙伴建立可信的联系。事实上，网络安全行业在各个层面上最大的技能差距并非技术，而是人际沟通。

Northwestern Mutual的Deaner说：“我有一支非常出色且技术过硬的团队。但当你与业务和其他战略利益相关者对话时，他们不一定知道什么是单点登录或多因素认证，他们只想知道如何解决问题。”

表达得越简单越好。网络安全专业人士常常陷入技术术语中，结果失去了听众的注意力。Noaman建议道：“要清晰、明确、直接。如果你一开始就直接说明你需要做什么并解释为什么这样做，就不必解释技术细节，因为现在每个人都理解了原因。”

在业务现实的背景下进行沟通也是必不可少的——这需要熟悉业务同事的日常经历。Deaner鼓励她的团队了解业务，参观呼叫中心，倾听电话交谈，“这样他们就能开始感受到另一端的人可能正在感受到的情绪。”

最重要的是，RAND的Rodgers表示，要记住这个基本而又重要的原则：“在每一次对话中都要牢记业务的优先事项。”

顶尖网络领导者的差异

在领导层面，高级沟通技能更加重要，而这种技能差距往往更大。网络安全和其他技术专业人士通常是基于作为技术人员的成就而被提拔到领导职位的。尽管他们的技术资质可能非常出色，但在核心领导能力方面，例如沟通、影响力、客户导向和商业敏锐度，他们往往缺乏发展或指导。

正如Rodgers所说：“把你带到这里的东西不会让你走得更远。你知道如何配置防火墙，但现在你必须向高管们进行沟通。你需要了解业务，并能够用业务语言谈论你的技术、安全和解决方案。能够进行这些对话是伟大领导者的区别所在。”

由于沟通技能对领导力的基础性作用，它们对领导效能产生了连锁反应。例如，透明度通常会建立更多的信任，从而促进更好的合作与协作。“质疑动机的情况会减少，”Noaman说，“我们在彼此交流，你理解我们为什么需要这么做。我认为，唯一能实现协作的方式就是通过信息的透明和简洁。因为我可能认为我们是一致的，但除非你和我在同一条船上一起划桨，否则我们并不一致。”

这些直觉性、以人为本的技能至关重要，尤其是在CISO们经常处理的高压、高风险情况下。正如Deaner所说：“我可以讨论CVSS评分，但归根结底，没有人愿意度过糟糕的一天。我认为，与其过于技术化，或者使用恐惧、不确定性和怀疑，或者不简化问题并在合适的时间地点与人沟通，远不如将问题定位为简单的‘没有人想要度过糟糕的一天’来得好。”

激发个人和团队的韧性

在信息安全领域，风险无处不在，攻击变得越来越复杂，责任重大。成功的CISO的一个定义性特征是他们的勇气。好消息是，勇气就像肌肉一样，可以像其他任何技能一样被培养出来，勇气也是一种心态。这个小组中的CISO们描述了各种内部动力，这些动力使他们即使面对艰难的挑战，依然保持在赛场上，保持韧性和适应性。他们明确表示，当你因热爱所做的事情而驱动，并始终保持对自己产生的影响的清晰认知时，勇敢变得更加容易。

一个共同点是他们专注于“关键时刻”，即网络安全与各种利益相关者之间的接触点。有意识地关注这些时刻的领导者发现，他们能够更好地预见问题，并更有策略地作为业务推动者出现。

Rodgers说，这是她在职业生涯早期工作在帮助台时学到的一课。整天处理投诉需要一种特殊的勇气。“但它的美妙之处在于，你会了解人们及其工作方式，”她说，“我到了一种程度，我能够预见他们会想要什么，所以我开始主动提供这些东西。现在，我在领导职位上运用同样的教训，来预见业务部门的需求。”

Deaner补充道：“了解我们的客户帮助我的团队快速上手，并帮助你理解你为什么要做这些工作。我们充满激情，但我们也有很多时候会感叹，这实在太疯狂了。获得那种‘我在产生影响并保护我的客户’的感觉，真是太好了。”

在这个行业，“总有些事情让你时刻保持警惕，”Noaman说，“这不仅是工作描述的一部分，也是我们这些在网络领域成长的人所具备的一部分。我们通过伤疤学会了这一点。”

伟大的领导者会创造一种文化，使人们能够在高压环境中茁壮成长，而不是被这种环境压垮。随着倦怠感的上升，培养、吸引、激励和留住最佳人才是顶尖CISO们的首要任务——因为他们知道，没有一支技术过硬、充满激情、目标一致的团队，他们无法保护利益相关者并完成使命。

“Noaman说：“我用跨国旅行来做比喻。我们正从A点到B点，我们有这些目标。我不会告诉你如何到达那里，也不会告诉你需要做什么，这是你们的工作。我的工作是让你们为这次旅行做好准备，因为这是一段旅程。作为领导者，我必须设定这个愿景，然后带领大家一起前行。”

领导力的平衡艺术

正如这三位CISO所展示的那样，最好的领导者以谦逊、同理心、适应力、韧性和透明度（HEART）来领导，同时要求他们的团队负责，并专注于交付成果，这是一种微妙的平衡艺术。过于关注结果，你会失去你的团队，但过于专注于HEART，你可能会失去工作。

在我们着眼于培养面向未来的网络安全领导者时，这一点尤其值得牢记。我们需要确保他们具备这项工作所需的技术、商业和领导能力。这意味着要在他们当前的水平上与他们接触，并为他们的旅程做好准备。

“我如何提升人们的能力曲线是有差异的，”Rodgers说，“这取决于识别领导技能的差距，也取决于个人及其想要达到的目标。此外，还很大程度上取决于你所处的环境，有时人们没有得到展示或发光的机会。要提升年轻领导者的能力，你必须有意为之。”

如果从这些领导者的成功中可以汲取一个总的教训，那就是：要有意图。考虑一下你当前所处世界中的变化有多大，这将是未来变化速度最慢的时候。对文化、人才和业务影响的有意关注从未如此重要。”

顶尖CISO如何打造企业网络安全文化的 03:13 Share

网络安全AI说

Shownotes Transcript

顶尖CISO如何打造企业网络安全文化的