网络卫生季：2024年的IT风险管理

让您的组织做好准备，在与网络和 IT 风险管理的持续斗争中领先一步。

随着企业越来越多地利用第三方服务和云技术，网络犯罪分子越来越善于利用漏洞，导致网络攻击激增。事实上，马里兰大学进行的一项研究发现，平均每 39 秒就有一个威胁行为者瞄准企业的网络安全基础设施。

作为回应，监管机构正在收紧其控制，要求对IT 风险管理采取积极主动和透明的方法。但是，这种方法到底是什么样的，企业又该如何保持合规性（并随时准备回答任何利益相关者的问题）？

大多数地区都制定了隐私和安全法律（如欧盟的GDPR 或英国的DPA 等），以制定网络安全法规。随着劳动力数字游牧的兴起，以及新监管要求的出现对第三方的依赖，在每个有一定数量员工的地区，都需要有效、全面的 IT 风险管理策略来应对这些变化。

以美国证券交易委员会（SEC）为例。由于认识到网络事件的威胁日益严重，美国证券交易委员会于 2023 年推出了一项开创性的网络披露规则。根据该规则，在美国运营的上市公司现在必须在发现重大事件的四个工作日内进行报告。此外，还要求每年披露网络安全风险管理、战略和治理情况。

美国证券交易委员会的拟议规则深入探讨了具体方面，强调了围绕重大事件进行披露的重要性、定期更新以前报告的事件，以及注册人识别和管理网络安全风险的政策和程序的复杂性。此外，拟议规则还阐明了董事会的监督、管理层在评估和管理网络安全风险方面的作用，以及董事会网络安全专业知识的年度报告。

不要忘记：今天的企业可能已经从现场服务器机房过渡到第三方、云提供商等，但外包服务并不意味着外包风险。 随着网络的发展，您有责任确保您的供应商、合作伙伴和其他第三方遵守您的内部政策和程序--在当今的网络环境中，这项任务变得越来越困难。

在这种动态的监管环境下，企业必须通过制定一个强大的 IT 风险管理框架来积极应对网络安全挑战。这不仅需要遵守特定的法规（如美国证券交易委员会的网络披露规则），还需要有足够的资源来证明合规性，并回答利益相关者提出的有关 IT 风险管理计划的问题。

有效的IT 风险管理策略包括持续监控、更新政策和程序以及整体可视性。通过采取积极主动的姿态，企业可以驾驭不断变化的监管环境，保护其资产，并建立抵御网络犯罪分子不断演变的策略的能力。

您的董事会准备比以往任何时候都更多地参与了解和监督您的 IT 风险技术 - 他们将开始提出更多的问题。通过我们最新的电子书，您可以掌握必要的知识和工具，自信地应对利益相关者的询问，在瞬息万变的 IT 风险监督领域中保持领先地位。