美國CFO：應(yīng)牢記風(fēng)險(xiǎn)管理8步驟

美國公司首席財(cái)務(wù)官（CFO）如何做才能使風(fēng)險(xiǎn)回報(bào)處于一種平衡狀態(tài)，繼而引起公司首席執(zhí)行官（CEO）對信息風(fēng)險(xiǎn)管理的高度重視呢？信不信由你！據(jù)我所知，CFO要想在加強(qiáng)信息風(fēng)險(xiǎn)管理問題上從公司取得充足的資金是非常困難的。如果作為CFO的你把這件事跟公司CEO談的話，CEO只會(huì)瞟上你一眼，而后聳聳肩、報(bào)以善意的微笑。其潛臺詞是：信息風(fēng)險(xiǎn)管理可以搞，但增加這方面的資金投入沒門。

據(jù)普華永道會(huì)計(jì)師事務(wù)所今年年初對美國103家上市公司的CEO對于網(wǎng)絡(luò)安全問題展開的調(diào)查顯示，在上述受訪公司中，只有不到45%的公司高度重視網(wǎng)絡(luò)安全。這些公司的CEO在接受調(diào)查時(shí)坦言，為了確保公司業(yè)務(wù)處于良好的運(yùn)轉(zhuǎn)狀態(tài)，公司對提高抵御風(fēng)險(xiǎn)襲擊的軟硬件投入多少都在所不惜。

調(diào)查結(jié)果進(jìn)一步顯示，很多受訪公司的CEO想把錢投在改善公司產(chǎn)品以及提高公司與客戶關(guān)系上，而對于數(shù)據(jù)安全保護(hù)方面的投資，他們總認(rèn)為是小事一樁。

其實(shí)，作為CFO與公司的合規(guī)團(tuán)隊(duì)，他們有必要就此問題向公司管理層建言，并能夠得到CEO的大力支持。然而，CFO的建言要言之有物，不能籠統(tǒng)地對數(shù)據(jù)風(fēng)險(xiǎn)進(jìn)行簡單的描述，應(yīng)該站在專業(yè)角度拿出令公司董事會(huì)信服的證據(jù)來。

CFO應(yīng)按以下8個(gè)步驟為數(shù)據(jù)風(fēng)險(xiǎn)防控爭取資金支持。

第一，CFO要確定自己試圖保護(hù)的、含有所有資產(chǎn)內(nèi)容或者含有上述內(nèi)容的公開信息。這些信息或許是個(gè)人識別信息、受保護(hù)的醫(yī)療信息、支付卡信息，又或者是其他涉及重要業(yè)務(wù)的專有、敏感信息。這些信息資產(chǎn)不僅包括應(yīng)用程序，還包括像服務(wù)器、備份磁盤、臺式電腦、筆記本電腦以及閃存在內(nèi)的含有應(yīng)用程序在內(nèi)的媒介。

第二，CFO要對這些資產(chǎn)構(gòu)成威脅的危險(xiǎn)因素進(jìn)行排查。這些危險(xiǎn)因素通常情況下又細(xì)分為4種，它們分別是：環(huán)境因素如洪水、火災(zāi)等，結(jié)構(gòu)性因素如基礎(chǔ)設(shè)施的毀壞或者軟件故障等，故障性因素如粗心用戶造成的損失等以及對抗性因素如**與心懷叵測的內(nèi)部工作人員的破壞活動(dòng)等。

第三，CFO要確認(rèn)這些資產(chǎn)所存在的薄弱環(huán)節(jié)。例如，沒有數(shù)據(jù)備份、沒有數(shù)據(jù)加密、密碼設(shè)置級別較低、沒有遠(yuǎn)端清除功能、沒有過載保護(hù)功能、沒有經(jīng)過培訓(xùn)的合格人員、沒有訪問管理設(shè)置功能、沒有防火墻、沒有商業(yè)應(yīng)急方案。

第四，CFO必須進(jìn)一步確定每一個(gè)能夠利用的薄弱環(huán)節(jié)變成危險(xiǎn)因素的可能性有多大。一般來說，CFO應(yīng)該按照百分比確認(rèn)這種可能性，而通過百分比，管理層就可以一目了然地知道危險(xiǎn)因素呈現(xiàn)的程度。

第五，CFO應(yīng)有憂患意識。即至嚴(yán)重的后果一旦發(fā)生，這種負(fù)面因素帶給公司的直接影響究竟有多大。CFO可以通過美國國際標(biāo)準(zhǔn)協(xié)會(huì)網(wǎng)站提供的免費(fèi)模型來對此進(jìn)行評估。至嚴(yán)重的后果包括：違約受罰、違約被起訴所產(chǎn)生的法律成本以及商譽(yù)成本。這些成本通?？梢酝ㄟ^量化進(jìn)行評估。

第六，CFO應(yīng)該根據(jù)風(fēng)險(xiǎn)因素的大小進(jìn)行風(fēng)險(xiǎn)等級排列。高風(fēng)險(xiǎn)因素與低風(fēng)險(xiǎn)因素分別位于表格的上下位置，而一般風(fēng)險(xiǎn)因素則居中排列。

第七，CFO應(yīng)該找到解決方案。CFO還需要確定為防止風(fēng)險(xiǎn)發(fā)生公司所應(yīng)擔(dān)負(fù)的成本到底有多大，而公司為抵御風(fēng)險(xiǎn)所支付的成本費(fèi)用不能超過公司的承受能力。

第八，CFO應(yīng)制定具體抵御風(fēng)險(xiǎn)的舉措。例如，公司一臺沒有加密的筆記本電腦一旦丟失后，公司可能就要承擔(dān)美國衛(wèi)生與公共服務(wù)部網(wǎng)站所公布的20%的醫(yī)保違規(guī)風(fēng)險(xiǎn)。這個(gè)例子為所有CFO敲響了警鐘，他們應(yīng)該及早制定抵御風(fēng)險(xiǎn)來襲的具體舉措。