IT客户支持人员或一心钻研技术的软件开发人员或网络系统管理员何时都不会认为高管们的电脑操作技术如何了得，这是正常的。同样您可以认为在信息安全方面，高管们也是技术菜鸟，他们甚至搞不定一个病毒，更不会配置复杂的防火墙系统。

但是如果认为高管们在信息安全方面不需要有什么作为，那就大错特错了。IT面临着变化，IT管理员不再是仅仅负责安装电脑和办公软件以及维护网络那些简单的事情了，他们要了解业务流程，要知道如何通过信息系统来推进业务创新和提升生产力。安全专家们同样也面临角色的变化，业务经理们不期望太多的安全规章来限制工作效率，C-Level的大头儿们更是在这经济不景气的时候想着如何能从IT及安全领域省些开支，以帮助顺利渡过冬天。

C-Level高管们可能在经济观察报或华尔街日报上看到一些恶性的安全事件，比如与隔壁竞争者之间的商业机密窃取案，黑客入侵行业内某家跨国大公司，某公司员工在微博上晒了内部敏感文档引发社会关注等等。直到有一天，CEO接连收到几个骗子的忽悠电话和短信之后实在无法忍受，便问首席信息安全官CISO或首席安全官CSO，公司在应对网络诈骗方面有什么良策？员工们是否准备好了？

CISO可能并非安全技术方面的高人，不过他（她）更理解业务、IT与安全，他知晓如何使用商业语言同CEO来沟通这些信息安全问题。无非是商业风险、内部控制、供应链安全、业务持续性计划之类的。当然，更懂安全技术架构和体系的是首席技术安全官CTSO，CTSO当然知道不能完全靠安全技术还实现安全控管的目标，特别是和人密切相关的。

在一个新的项目比如设置一个新的大型分支站点或业务单元时，当CTSO还在想如何架构防火墙、入侵防御系统、漏洞扫描及安全监管平台时，CISO则站在更高的位置思考业务可能面临着的威胁、漏洞和风险，并且开始列举出有效控制这些商业风险所需的众多安全控管措施，当然还有一个问题便是预算和紧要性排序。

这关CEO什么事呢？再回到CEO向CISO或CSO的提问，CISO或CSO的简要而正确的回答无非是：我正好要找您谈论这些，您和其他高管们需要更多参与到信息安全战略和员工安全意识培训活动之中。

的确，信息安全不应该只是安全官员、安全总监和经理主管们的职责，所有人都应该担负起一定的安全职责。让IT负责基础架构和应用程序的安全，安全部更多关注的是物理环境的安全，业务流程和业务信息数据的安全更应该由各业务部门来保障，所以，要让每位员工了解自己的安全职责。而要达到这点，只有进行必要的安全意识教育。而要发动安全意识培训教育活动，仍然要从高层做起，无论CISO或CSO都难以独自担当宣传培训活动的重任，无疑，要协作起来，成立安全意识培训委员会，当然谈到对人员进行培训，不能少掉培训部门的参与，甚至人力资源总监CHO也得进来。

至于信息安全战略的制定，无非也是高层的工作。昆明亭长朗然科技有限公司安全培训顾问Alice Wong说：高层在这方面则应成立信息安全委员会，一来彰显“谁管理，谁负责”，二来由最高层制定的战略文件才能在全公司或集团范围内顺利开展。在安全意识培训活动中，高管们无疑应该做出表率，谈一谈信息安全对公司成功的重要性，向员工们分享一些与工作密切相关的安全经验，比如如何识别和防范社交工程攻击等等。

信息安全会变得越来越难，不过我们可以看到高管们在积极地参与到安全建设之中，不仅仅是出于业务流程、信息系统及数据的安全保障，更是站在公司治理、法规遵循和风险管理的高处，同样，也是保障客户、供应链、销售链等等的信息安全需求。