CISO 职位应该一分为二吗？

原创 CsoOnline 2026-10-10 08:00 美国

作者：Rosalyn page

发布时间：2026年10月5日

随着 CISO（首席信息安全官）职责范围的拓展，除了传统的技术根基外，还融合了业务风险管理，这让一些人开始思考：是否是时候将该职位重新设计为一位业务风险高管和另一位专注于技术控制的高管？

在约 30 年的发展历程中，新技术的浪潮和日益上升的网络威胁重塑了 CISO 的角色。 在许多企业中，CISO 现在统筹风险报告、信息风险管理、威胁监控、网络风险问责与治理以及安全战略。 而随着 AI 的应用和对数字化依赖的不断增长，CISO 的职责范围已超越了单纯的安全控制。最新发布的 IANS《CISO 现状报告》指出，CISO 正拥有越来越多的高管职权，用以在企业层面塑造整体战略。

如今，CISO 的角色被以前所未有的速度重写--但单一职位能否同时驾驭日益增长的技术职责与高管管理职责？

CISO 职位是否已超越了其技术根基？

前 CISO 托德·菲茨杰拉德（Todd Fitzgerald）目前主持专业领导力项目并撰写关于该职业的文章。他表示，CISO 角色经历了一系列演进阶段：从早期技术监管，到合规、GRC（治理、风险与合规）、云安全、隐私保护，直至演变为如今对“业务韧性（business resilience）”的关注。

“越来越重要的，是用业务领导力的视角来看待 CISO 的工作，”菲茨杰拉德说道。

当今的 CISO 是一个战略性角色，其职责是降低风险并为业务需求做出贡献。“那不是一个纯技术人员。虽然很多 CSO（首席安全官）都是技术出身，但这并不是这份工作的真正本质，”他指出。

菲茨杰拉德表示，许多公司正在逐步追赶并理解 CISO 的真正职责范围。“我不觉得这是一场全新的变革，”他在接受 CSO 采访时表示。

但根据 IANS 的数据，仍有三分之二的 CISO 向 IT 部门汇报--这表明许多企业尚未为该角色赋予战略层面的业务重要性。“我认为我们在清晰阐述 CISO 角色的真正含义方面做得并不好，”菲茨杰拉德分析道。他认为，许多 CISO 之所以退回到技术本行，是因为尝试改变企业的业务流程非常困难。

“他们没有去解决真正的风险所在，或者没有完成最艰难的部分--即与业务部门及利益相关者坐在一起，去理解他们的安全需求，”他表示。

其结果可能是：人们对 CISO 的刻板印象与 CISO 自身渴望扮演的角色之间存在偏差。菲茨杰拉德指出，CISO 们可能会陷入抱怨预算不足或无人倾听的困境。 他们走进会议室时身份是“懂技术的安全人员”，但他们内心希望被视为其他更具战略意义的角色。

Splunk 发布的《2026 年 CISO 报告》发现，79% 的 CISO 表示其职责范围已变得极其复杂，目前的责任涵盖数据隐私、监管合规以及第三方网络风险--且 96% 的 CISO 如今还负责 AI 治理与风险管理。

Team 8 通用合伙人兼常驻 CISO 蒂姆·布朗（Tim Brown）赞同 CISO 需要以业务领导者的身份行事，以便向企业呈现网络风险。

“毫无疑问，他们绝对仍然需要管理运营层面，并拥有合适的人员来成为其中的一部分，但（企业）需要掌握真实风险和现有防护覆盖范围的度量标准，”布朗表示。

在不煽动恐慌的前提下，CISO 的首要任务是主导网络风险对话，但这并不意味着只依赖漏洞列表、补丁和仪表板指标。“没有人拥有无限的预算，因此你必须建立必要的技能去进行沟通，从而合理地花钱把事情办好，”布朗说。

重构 CISO 角色

许多 CISO 面临的问题是：该角色已经演变为业务领导者，却同时必须保留过往所有的职责。结果导致许多 CISO 反映，不断扩大的职责范围已经超出了现有资源所能承受的极限。

IANS 《2026 年 CISO 现状报告》发现，52% 的 CISO 认为他们的职责范围已不再完全可控，这在规模较小的企业以及安全团队较为精简的行业中尤为明显。

几年前，讨论焦点在于 CISO 角色是否应该拆化为“业务 CISO”和“技术 CISO”，以此来管理不断膨胀的职责。当时人们认识到，战略风险管理已成为一项业务刚需。

而到了近期，有人建议将演化出两种不同类型的安全领导者--一位专注于防御部署，另一位专注于风险与韧性。不过菲茨杰拉德并不赞成将安全技术职责剥离回 IT 部门。

“我不知道我是否会设立两位 CISO。我仍然认为，由一位 CISO 驱动战略并对该职能全盘负责，才是处理这一角色的正确方式，”他表示。

一些大型企业选择设立副 CISO（Deputy CISO）来分担工作量。在这种模式下，CISO 负责战略方向、与董事会及其他高管沟通以及风险管理；而副手角色则处理更多日常运营事务。

布朗认为，设立副手对于接班人计划和日常运营的连续性至关重要，同时也提供了一条培养未来 CISO 的路径。“在企业内部保持这种梯队深度非常重要，”他表示。

布朗和菲茨杰拉德都认为，答案并不是创造两位 CISO，而是保持一位 CISO，同时为其明确界定技术、治理和运营职责。

在布朗看来，CISO 的核心职能是承担与网络相关的业务风险，治理和安全运营则是支撑该角色的两大支柱。

“这并不意味着他们要亲自去修复/解决每一个风险，但他们应该是那个 100% 时间都在思考风险、沟通风险并协助制定适当修复方案的人，”他表示。

安全运营与防御部署（过去的核心角色）是第二个要素，治理是第三个要素，但它们并不一定都需要由 CISO 亲力亲为。

“不同的企业会有不同的汇报架构--我们经常看到 CISO 下设不同的独立职能部门，”布朗表示。“就像会计领域一样，有一位 CFO 对企业的财务全权负责，CISO 也需要对企业的网络风险全权负责。”

行业报告表明这种转变正在进行中：根据 IANS 《CISO 现状报告》，高管级别的 CISO 头衔（无论是副总裁级还是总监级）如今在各种规模的公司中都占据主导地位，且他们向 IT 部门以外汇报的可能性显著增加。

然而，高管头衔也带来了额外的责任以及风险。

高管级别的 CISO 需要询问自己是否包含在董事及高管责任保险（D&O 保险）的保障范围内，布朗指出：“他们需要与高管团队和董事会就法律责任进行对话，明确如果自己确实是一名高管官员，是否包含在董事及高管责任保险的保障范围内？”

在 SolarWinds 数据泄漏事件发生后，针对布朗发起的诉讼指控使得更多 CISO 将注意力转向了个人法律责任以及现有的保护措施（或缺失）： “在很多方面，触发点是我被美国证券交易委员会（SEC）起诉，这促使许多 CISO 开启了这场对话，”他说道。

菲茨杰拉德表示，随着这一角色的成熟，仍偏向技术型的 CISO 需要通过培训和实践经验来转型为业务领导者。“重要的是我们能够开展这些对话，并且被视为与其他高管平起平坐的真正合作伙伴，而非仅仅是一个技术合伙人，”他在接受 CSO 采访时表示。

在早期，人们认为只有大型企业才需要设立 CISO。随着越来越多组织建立起安全职能，这一观念已被打破，哪怕该角色的内涵已发生了深刻变化。

菲茨杰拉德将 CISO 角色的演进轨迹比作 CIO（首席信息官）的成熟历程--最终成为一名真正的高管。

“这是一个相对年轻的职位--距离首位 CISO 的出现才过去了 31 年--但如果我们回顾 CIO 职位在发展到第 30 年时的状态，就会明白在未来 10 到 15 年后，我们将看到一种全新面貌的 CISO，”他总结道。

https://www.csoonline.com/article/4230243/should-the-ciso-role-be-split-in-two.html

（完）

跳转微信打开