【臺灣資安大會直擊】李維斌:將資安內化成組織文化的四種方法

鴻海研究院執行長兼資安所所長李維斌表示,企業推動資安往往會受到組織文化的影響,而組織文化沒有對錯之分,只有立場之別。

 

iThome

【臺灣資安大會直擊】資安長難為,許多企業推動資安時,一定會遇到很多問題,從資源分配、組織運作、高層態度到人員的配合度等等,其中,組織文化甚至是企業推動資安能否成功的隱形關鍵。

現任鴻海研究院執行長李維斌日前在臺灣資安大會「CISO Workshop」分享時表示,對於所有企業組織而言,組織文化聽起來很複雜但講起來很簡單,其實就是「政治」兩個字足以囊括。不過,企業內的「政治」是可以做但不能說的一件事情,他希望將過往的經驗透過一個框架的方式分享給大眾。

李維斌坦言,企業內推動資安沒有順風順水的,往往是一把辛酸血淚史,像他本人也身兼鴻海研究院資安所所長,也被要求必須為鴻海集團的資安做出貢獻。他說,鴻海資安做的好,是因為背後有蘋果這個大客戶對供應商的各種要求,資安沒有做好就沒有訂單,所以,資安是一定要做好的。不過,他說,因為鴻海相關資安推動經驗,都有簽訂許多保密協定,他也很難對外分享。

不過,他提醒企業內不管是做資安或是做IT的人都必須意識到,凡是講到政治、企業組織文化等,這中間並沒有對或錯,只有立場不同而已;而每件事情背後的立場,都需要當事人自己體會和理解,不過,要將資安內化成為企業的組織文化,他也提供四個常見的方法,可以從中思考各企業可行的切入點。

方法一:把資安嵌入業務流程,才能改變老闆資安思維模式

要談企業內的推動資安的驅動力,李維斌說,每個人都可以捫心自問,企業組織內談資安,這是一種「感覺」還是「現實」?對許多資安從業人員而言,老闆談資安往往是憑感覺,但資安部門經常是看到資安對企業造成風險的現實。

他表示,當「感覺」(Feeling)與「現實」(Reality)兩者產生溝通的代溝時,這就是企業內資安問題的開始,因為,老闆覺得不安全,就會開始藉由各種設備採購降低資安風險,但所有人都知道,沒有人敢為某一種資安解決方案打包票、確保百分之百的安全。

因此,李維斌從個人自身的經驗分享指出,如何縮短老闆和資安部門對於「風險」認知的代溝,便是企業要能夠好好推動資安的首要任務,畢竟,兩者之間代溝越小、資安部門越容易做事,因此,資安部門便要思考,如何改變老闆對資安風險的思維模式(mindset),讓老闆成為企業推動資安的正面驅動力。

不過,要改變老闆對資安的思維模式、改變企業對動資安的組織文化,整個資安團隊還有很多事情要做。畢竟,現在因為網路威脅大增、企業符合各種法規遵循的要求也更加嚴格,但他表示,資安對很多企業而言,仍然是「講起來重要,做起來次要,忙起來不要」。

雖然,資安不是可以幫公司賺錢的業務單位,反而為了做好資安,還必須持續大量的資安,過去這二十多年來,企業整體越來越重視資安,李維斌以自身的經驗來看,「打不過它、就加入它」,只有把資安嵌入到業務流程中,唯有資安和業務兩者整合在一起,企業推動資安才可能成功。

李維斌認為,業務才是公司真正面貌,沒有真正改變公司業務,讓資安成為業務流程的一部分,就很難做到長久改變組織文化。

方法二:拉高資安長通報層級,能制定策略才有影響力

李維斌不僅是臺灣早期便深耕資安領域的學者,在逢甲大學擔任資訊處資訊長時,對外承接資訊專案、活化資訊團隊;擔任臺北市資訊局局長時,更負責臺北市「智慧城市」、開放資料平臺,以及智慧支付平臺的規劃推動;卸任後轉任富邦集團擔任銀行數位長及金控創新長,負責金融科技創新、建立生態系以及資料應用基礎建設的設計。

回顧過往的經歷,李維斌笑說,資訊長(CIO)越來越難混,不僅所有的設備採購要計算ROI(投資報酬率),加上管轄範圍除了傳統的IT系統外,也新增納管OT(營運科技)相關的工控系統;早期資訊和資安綁在一起,其實,在資安成為顯學之前,在主管機關要求設置資安長之前,資安其實也是資訊長掌管的範圍之一。

因為資訊長管理範圍越來越複雜,李維斌之前帶學生到工廠端針對OT系統做資安檢測時,都不能出任何一點差錯,一旦有出錯,再多的道歉都無法挽回工廠端OT系統出錯對公司造成的營運損失;加上臺灣有許多OT還是老舊封閉的系統,也有許多軟體漏洞沒有修補等資安隱憂在內。「除非是新建廠房,不然,要在工廠老舊工控系統端做資安,難度都很高。」他說。

至於資安長,李維斌認為,資安長管理範圍不只侷限在IT系統的安全,資安長應該去掉「i」,拉高思維層級,從資安治理的角度,把CISO轉變成CSO。

他表示,許多企業不容易接受新技術,往往會擔心東、擔心西,資安長要做到讓公司安心,讓組織有能力擁抱過去認為風險太高的機會,調和維持競爭力下的組織衝突,資安長不僅要有很好的說服力,還要做到當責。

Google地圖已可更新顯示潭子電動車充電站設置地點!!

日本、大陸,發現這些先進的國家已經早就讓電動車優先上路,而且先進國家空氣品質相當好,電動車節能減碳可以減少空污

南投搬家公司費用需注意的眉眉角角,別等搬了再說!上新台中搬家公司提供您一套專業有效率且人性化的辦公室搬遷、公司行號搬家及工廠遷廠的搬家服務

好山好水露營車漫遊體驗

露營車x公路旅行的十一個出遊特色。走到哪、玩到哪,彈性的出遊方案,行程跟出發地也可客製

推薦評價好的iphone維修中心

擁有專業的維修技術團隊,同時聘請資深iphone手機維修專家,現場說明手機問題,快速修理,沒修好不收錢

回頭車貨運收費標準,宇安交通關係企業,自成立迄今,即秉持著「以誠待人」、「以實處事」的企業信念

產品缺大量曝光嗎?你需要的是一流包裝設計

窩窩觸角包含自媒體、自有平台及其他國家營銷業務等,多角化經營並具有國際觀的永續理念。

綠能、環保無空污,成為台中電動車最新代名詞,目前市場使用率逐漸普及化

台中景泰電動車行只是一個單純的理由,將來台灣的環境,出門可以自由放心的深呼吸,讓空氣回歸自然的乾淨,減少污染,留給我們下一代有好品質無空污的優質環境

電動車補助

想在住家的頂樓裝太陽光電聽說可發揮隔熱功效一線

推薦東陽能源擁有核心技術、產品研發、系統規劃設置、專業團隊的太陽能發電廠商。

網頁設計最專業,超強功能平台可客製化

窩窩以「數位行銷」「品牌經營」「網站與應用程式」「印刷品設計」等四大主軸,為每一位客戶客製建立行銷脈絡及洞燭市場先機。

南投搬家公司費用需注意的眉眉角角,別等搬了再說!上新台中搬家公司提供您一套專業有效率且人性化的辦公室搬遷、公司行號搬家及工廠遷廠的搬家服務

回頭車貨運收費標準,宇安交通關係企業,自成立迄今,即秉持著「以誠待人」、「以實處事」的企業信念

要做到當責,企業資安長就必須具有一定的實權和影響力,李維斌說,最容易檢視資安長對企業的影響力,可以從資安長報告對象是誰來界定,假若,資安長報告對象是大老闆,不管是董事長或是總經理、執行長等,資安長在企業就具有制定策略的地位,也就具有影響力;但資安長若只是跟資訊長或其他CXO等高階主管報告,表示資安長還是扮演技術幕僚的角色而已。

方法三:將資安管理標準內化成企業組織文化DNA

以前資訊長談的是執行、分工合作,現在談比較多數位轉型;而資安長在臺灣是比較新興的職稱,從以前只談產品和技術,像是十幾二十年前,企業只有發生資安事件後才會採購防火牆;之後,企業開始引進資安管理的標準,例如導入ISO 27001資安認證,思維才逐漸從資安設備和技術層面,轉變到資安管理層面。

不過,李維斌認為,如果還是由資訊部門負責推動ISO 27001的話,表示資安還只是資訊部門的事情,只是一個部門的短期績效,並沒有改變組織文化。

他表示,導入資安管理認證標準要對企業帶來的改變,就要從資安管理拉高成為資安治理,讓資安標準內化成為全公司同仁的事情,更重要的是,藉由推動資安標準改變公司組織文化,讓資安成為組織文化的DNA。

方法四:做好資安是人人有責且賞罰分明,持續演練不可少

組織文化是一種慣性,有慣性就有效率,但時間久了可能成為惰性;而資安威脅充滿種種不確定性,需要的是一種可以針對風險臨機應變的能力。所以,李維斌表示,組織文化的慣性,如何和資安威脅的不確定性應對,就會是一種角力的過程。

慣性就是當物體抵抗其運動狀態被改變的性質,而質量越大、慣性越大,企業組織規模越大,形成的組織文化慣性越大,要如何避免慣性成為惰性,就需要藉由外力改變。

他認為,改變企業組織文化的外力,包含「上而下」、「下而下」兩種外力。所謂的「上而下」的外力,談的是老闆的期待,像是老闆對資安的感受,以及資安部門面對的資安威脅的現實,兩者中間的差異就是老闆期待值的落差。

至於「下而上」的外力,指的是一種從公司基層往上,對公司高層產生的刺激,但如何讓公司基層願意發動這種刺激,就需要創造讓業務單位願意為資安買單的情境。

因為業務是公司賺錢獲利的命脈,資安部門從傾聽業務單位的需求開始,慢慢將資安融入業務流程之中,然後就可以影響公司決策;當業務單位願意編列資安預算時,就是公司資安和業務單位達到雙贏的局面。

李維斌說,他在擔任臺北市資訊局局長的時候,就成立專案辦公室(PMO)去傾聽各個部門的需求,使用能引起共鳴的語言,雙方不必劍拔弩張,也不用專用術語迷惑彼此,更不必拿高階主管授權的尚方寶劍懲處員工。他認為,要做到業務和資安雙贏是很辛苦的一件事情,但不用腦筋就不可能達到雙贏的局面。

資安很重要,但很多時候老闆常常看不見,往往會認為資安是別人家的事;不然就是看不懂資安、看不起資安,更糟糕的是,真的發生資安事件,卻來不及做任何資安應變措施。

李維斌認為,要推動資安,就必須累積公司對資安高階主管的信任,不需要聲嘶力竭的說服,但是一個需要各種成功案例去累積信任的過程。所以,他說,資安推動不是默默行善,必須要敲鑼打鼓讓企業內同仁都知道,推動資安對企業帶來的成效。

此外,他也指出,資安推動應該要做到「人人有責、賞罰分明」,員工績效考評必須放入資安選項,大家才會認真看待;若發生資安事件也必須有相對應的處罰,全公司才會真正重視資安、覺得資安與每個人息息相關;更重要的是,資安演練不能省,唯有透過持續演練,才能將資安事件應變流程,內化成公司的業務作業流程。

如何將資安成為企業組織文化的一部分,李維斌認為,可以透過「借力使力」的方式,例如,企業如果發生資安事件,如果可以作為提升企業內部的資安意識,這樣的資安事件就是好事,畢竟,發生資安事件時,對資安部門可以是危機也是轉機。

再者,資安部門可以透過小步快跑的方式,邊推動邊調整資安作為;加上推動資安往往有很多的阻力,推動者也必須具備堅定的意志和謙和的態度,資安才能夠持續推動。

他也提醒,在企業內推動資安,不應該像是開罰單的資安警察,專門挑剔沒有做好的環節;而是應該透過各部門共同協作的方式,共同達成企業設定的資安目標。

https://www.ithome.com.tw/news/153857

您可能也會喜歡…