一年之际在于春，新年伊始，又到了制定目标、战略、计划和进行动员的时候了。信息安全管理委员会不能只是挂个虚名，该召集成员们来商讨新年大计了。

对于一个成熟的信息安全管理体系来讲，前一年与后一年之间的工作计划似乎并没有什么不同，只管按步就班进行下去即可。信息安全管理水平仍处于混沌状态之下的组织在面对老问题之时，似乎仍然无解。

而信息安全威胁却总是在不断地更新着、变化着和增长着，这就需要采取必要的应对措施。当然，这里的意思并非为应对新型计算机病毒的出现，而更换防病毒软件。

有钱好办事儿，安全预算是关键，所以年度信息安全会议上最重要的是安全预算。昆明亭长朗然科技有限公司企业安全治理顾问James Dong说：从财务控管角度讲，财政资源是有限的，合理配置使用有限的资源才是关键。从大的社会环境来看，中央已经认识到往年安全维稳成本过高，必将严格控制相关开支。受中央部委控管的大型央企国企必将受到一定的影响，大的方向上似乎是安全年度预算会逐步减少。

要知道：能减少的只会限制在安全运维方面，比如通过优化流程和精简队伍来降低运营成本，而新的安全项目方面的预算则是不应该贸然减少的，甚至还应该适量增加，以保证不断提升安全管理水平和应对新型安全威胁。

在流程优化方面，多数公司，无价值的审批环节可以省略，类似的安全运营流程也可以合并，以求高效。人员队伍方面，中国人力资源低廉的时代已经过去，高素质的全能性信息安全人才必将受到欢迎，此外，采用兼职的专业信息安全管理人员如兼职首席信息安全官CISO也是个不错的方向。同时，人力资源成本的高居不下让信息安全委员会不得不考虑采用新的安全战略，如将非核心战略的安全运维流程外包，这在发达国家和地区已经实施多年。

不过，机制不够灵活是很多大中型企业的通病，要让新战略得已贯彻实施，让老问题得以顺利解决，就需要有效的安全认知沟通。这不仅仅需要在信息安全管理委员们之间，更需要向全体员工、投资者和受影响者如何进行必要而充分的信息安全意识和理念的交流。