在英国接受调查的C级主管中，近三分之一(32%)要么没有制定应对计划来管理对其业务的网络攻击，要么不确定是否这样做。这是对员工人数超过50人的组织中250名C- suite成员进行的新民意调查的结果。该调查由总部位于英国Maidenhead的Axial Systems在2017年第一季度进行。

Axial Systems董事总经理Mike Simmonds 表示：“企业开始唤醒我们在市场上看到的有关网络准备的所有信息。但是，我们的调查表明，还有更多工作要做。每个组织都应该制定某种网络响应计划–企业中的高级主管当然应该知道是否已经制定了这样的计划。目前显然不是这种情况。”

迈克·西蒙兹

与此相符，调查发现，即使是那些确实表示有应对计划的董事也难以提供有关该计划的更多细节。许多受访者给出了基本答案，不太可能构成对真正攻击的充分响应，例如“我们有备份帮助”或“保持防火墙和防病毒软件最新”。一些人表示缺乏对流程的了解，而另一些人则表示他们“有一个团队来处理”或“请专家”。

轴向调查表明，C 套件的部分问题可能是缺乏组织内部的专门支持。超过一半(52%)的C级受访者表示，网络安全是IT部门的职责。总共只有35%的人说有一个单独的安全部门，但是，只有不到一半的受访者说该部门由专门的首席安全官(CSO)或首席信息安全官(CISO)领导。

Simmonds补充说：“这与我们在Axial开展业务的经验有关。” “ IT部门不可避免地会受到其他挑战的干扰，这将使他们很难将足够的时间和专家资源集中在安全问题上。如果没有专门的安全团队，组织就可能使自己面临更大的风险。”

调查还显示，C 级主管本身有时无法以身作则。对于高级董事而言，个人使用业务数据的“侵害”程度似乎比一般上班族要高得多。

保罗·布雷特

总体而言，C级样本中有45%承认已将公司数据存储在家用计算机上。与此相比，在Axial进行的一项平行调查中，只有14%的办公室工作人员(也是拥有50多名员工的组织的雇员)承认这样做了。同样，有18%的上班族说他们“将工作数据发送到个人设备中以便于访问” –仅比接受此事的高级董事(41%)的一半还低。

该调查引起了人们的关注，即业务最高层的人是否真的在传递有关关键安全问题和最佳实践方法的信息，以吸引更多的下层员工。自加入目前的业务以来，有50%的办公室工作人员根本没有接受过有关IT /网络安全的任何培训-许多人对他们围绕IoT和GDPR的业务安全政策缺乏清晰的了解。

在这种背景下，对于全球通用数据保护条例(GDPR)的业务准备情况如何，在整个商业界进行的猜测太多了，这也许不足为奇。在调查中，只有17%的C级样本认为他们的组织已经做好充分准备，因此有这么低的数字是有充分理由的。

Axial表示，许多员工对此并不十分了解，专门的安全团队供不应求，也许最令人担忧的是，超过四分之一(26%)的C级主管表示他们的业务没有数据保护官员(DPO)到位–即使在许多情况下，只有一名官员是未决GDPR法规的强制性要求。

在推力系统，销售主管保罗·布雷特，评论说，“预防永远比治疗，当谈到网络-漏洞。事先解决问题要比事后解决便宜。活动结束后，您无论如何都必须为新的解决方案付费，但您也可能要面对收入损失，客户流失，声誉受损甚至股价影响的问题。根据违规的性质，如果确实如此，企业可能要花费数年的时间才能恢复。”

里昂· 利明(Lyons Leeming)首席执行官卡尔· 利明(Cal Leeming)表示： “ GDPR的设计确实是“最低规范”。我们必须真正记住这一点。并非不是我们应该针对的法规。有关当局的更多信息是，这实际上是基本级别的标准，如果您不只是“毛骨悚然”的东西，您将受到制裁。组织真正应该说的是这是我们的基准，让我们超越它，超越自我。您希望每个公司，每个CEO或业务所有者都将始终这样做;总是会说：“我们将超越一切”。实际上，事实并非如此。”

“在我完全理解网络威胁的业务影响之前，我花了四年的工程师培训，然后在业务方面由出色的导师提供了更多培训。这很关键，因为网络安全不是技术问题，而是业务风险问题。

我们今天在市场上看到的网络安全漏洞数量，开始使人们对这些事件的严重性不敏感。那是个大问题。人们只是习惯于听到有关泄漏的新闻报导，以至于他们越来越不受到泄漏的影响。”

金雅拓企业与网络安全部门首席技术官Jason Hart表示：“整个企业应该拥有信息安全而非IT部门。这应该是董事会级别的责任。 他们应该降低要求，然后让个人负责。IT人员在那里执行程序或控制并对其进行管理。他们不在那里监视它。”

Hart补充说：“安全最终需要对单个用户透明。从今天到今天，我们还有很长的路要走。但是有希望的迹象。AI(人工智能)和行为分析的不断发展正在推动这一过程，而向云和微服务的迁移将有助于加速这一过程。

然而，展望未来，如果要持续下去，我们需要看到技术供应商与云提供商之间的更多合作，而供应商需要使用户的安全性变得更加简单和容易。”

“如今，企业内部的安全培训基本上行不通。组织内需要针对不同类型的个人进行不同类型的培训。更重要的是，培训需要强调安全漏洞对特定个人的潜在影响。培训绝不能孤立进行。学习要点必须与组织的商业文化保持一致。”

“我参与GDPR已经有很多年了。最重要的是，人们对该法规仍然很困惑。他们觉得这很复杂。他们不明白它正在试图实现什么。人们经常说：“嗯，我符合PCI标准;我已通过ISO 27001认证。我不了解这种联系或其他需求。” 我与之交谈的大多数人甚至都不知道GDPR正在向下游发展。因此，我认为作为UK PLC，我们在传达信息方面做得相当糟糕，” Hart总结道。