了解网络安全计划在组织中的作用和重要性| Gartner

Gartner 研报指出，随着高管层意识到信息安全的重要性，信息安全的重要性正迅速提升，预计到 2026 年，70% 的董事会将至少包含一名具备网络安全经验的成员。为提升安全能力与效果，企业需建立成熟的网络安全框架，该框架应具备规划、架构、报告和调整安全活动的功能，并根据内部和外部因素进行动态调整。缺乏成熟的安全计划，企业的安全活动将仅是技术实施的集合，无法系统性地应对风险和措施。

成熟的网络安全计划包含七个关键组件：企业信息安全章程、执行层、治理结构、战略规划、安全流程和组件。该计划需适应不断变化的威胁环境，满足业务需求，并具备高度进化性和自调整能力。实现这种成熟度需要团队协作，包括首席信息官、销售、市场等部门负责人，以及 IT 部门。

网络安全计划的关键阶段包括：战略规划与计划、评估计划、制定战略、沟通、重新评估、优化和改进。每个阶段都有明确的目标和预期成果，并配有相应的 Gartner 资源支持。例如，战略规划阶段需理解业务优先级、定义使命和愿景、识别业务、技术和威胁驱动因素；评估计划阶段需评估现有系统、人员、流程、工具、技术、用户意识和第三方交互；制定战略阶段需整合能力、工具和技术，建立安全团队角色和责任；沟通阶段需制定沟通计划，获得利益相关者的支持；重新评估、优化和改进阶段需开发监控和应对高级威胁的程序，建立逆向恶意软件工程、狩猎和原因确定的能力，以及制定关键事件响应能力和行动计划。

成功实施网络安全计划需要跨职能团队的参与，包括首席信息官、软件工程领导者、企业和技术创新领导者、基础设施和运营领导者、战略投资组合领导者、技术领域架构师和首席信息官等。高盛健康通过将网络安全活动作为服务进行管理，并正式将责任分配给安全风险管理领导者，成功地将网络安全服务与安全人员重新组织，并确保安全功能按预期执行。

最后，Gartner 提供了多种资源和支持，包括研究报告、分析师咨询、电话咨询、现场研讨会等，帮助企业建立和优化其网络安全计划。