网络安全工作的悖论：预算越多，问题就越多

本文讲的是 网络安全工作的悖论：预算越多，问题就越多，为什么有些高管不愿意在安全上加大投入？因为在企业中，只有安全团队是一支“给的预算越多，发现问题就越多”的队伍。在WannaCry和NotPetya勒索软件肆虐之下仍有公司不愿投资安全，原因之一正在于此。

安全事件频现主流媒体头条，但是否有助于安全列入董事会议程的前列呢？

一家大银行的CISO曾表示，虽然自己已经是公司里向董事会做简报最多的人，但是讨论基本是从防护角度出发。“董事会只想知道怎样确保不受全球爆发和重大问题的侵扰”。

此外，安全驱动业务的观念，是否真得传达到并被董事会所接受？

我们都听说过安全作为业务驱动器的概念，但真的是这样吗？哪里体现出来了？给我点案例看看？安全是唯一一支当它要求更多预算的时候，反而给你更多问题的团队。在我担任CISO的时候，把钱投到安全工作上，结果就是更多人发现问题，产生更多警报。这是违反成本效益本质的，投入应该给公司带来经济收益。但在安全上，投入却是个无底洞。投入越多问题越多。
——迈克菲首席科学家拉杰·萨玛尼

难道就这样接受现状了吗？

实际上这里需要观念的转变，即只要董事会不再把安全看做独立的业务领域，而是将其视为公司各个组成部分的基础，安全是一个属性，上面的问题就都不存在了。

如何证明安全投入可帮助企业增加经济收益？回答好这个问题，就是向董事会证明安全价值的关键。