Don Smith/Stocksy
董事會愈來愈重視網路安全，防護成效卻只略有提升。研究指出，關鍵在於董事會缺乏評估資安領導人的能力、討論AI時忽視風險，更誤把法遵當成安全。要真正降低風險，董事毋須變成技術專家，而應將資安視為營運韌性與長期競爭力的核心，重設治理重點。
到了現在，大多數企業董事會都已相信投資網路安全有其必要。董事會知道，嚴重的網路安全事件代價高昂，會損害品牌，可能重創營運、瓦解消費者信心，甚至引發攸關企業存亡的疑慮。然而，矛盾的是，隨著董事會愈來愈重視網路安全，他們是否反而愈來愈不擅長治理這項議題？網路安全問題逐年惡化。舉例來說，去年春天發布的2024年聯邦調查局（FBI）犯罪報告顯示，網路犯罪造成的損失比前一年增加33％。
根據我們以董事會為核心的大量研究，包括深入訪談超過75位董事與必須面對董事會的高階主管，我們擔心，儘管董事會更加重視網路風險，他們降低這類風險的能力卻只略有提升。
在我們對董事會網路安全治理的觀察中，有3個突出因素正在推動這項問題：一、缺乏網路安全專業；二、董事會層級的AI討論忽視安全；三、董事會誤把法遵當成安全。
這些問題並非無法克服。但只要這些問題持續存在，董事會就是在招致災難。以下是董事需理解自己在引導網路安全工作時扮演的角色，以及他們必須做出的改變。
缺乏網路安全專業
許多企業董事會都明白自己的網路安全專業相當薄弱。近期針對62家公司、239名網路安全委員會成員的一項研究發現，擁有正式網路安全資歷的人少之又少：只有...
傑佛瑞．普勞德福特 Jeffrey Proudfoot
賓利大學（Bentley University）電腦資訊系統系教授，也是MIT史隆管理學院網路安全聯盟（Cybersecurity at MIT Sloan, CAMS）的合作研究員。他的研究專長為組織網路安全議題，涵蓋法規、法遵、高階領導力與董事會治理。
史都華．麥尼克 Stuart Madnick
MIT史隆管理學院（MIT Sloan School of Management）資訊科技講座教授、MIT工程學院（MIT School of Engineering）工程系統教授，MIT史隆管理學院網路安全聯盟（Cybersecurity at MIT Sloan, CAMS）主任。他自從1979年與人合著《電腦安全》（Computer Security）之後，便活躍於網路安全領域。
