治理与风险
我关于治理与风险所写的全部内容，研究文章在前。每篇都以一件您周一就能做的事收尾。
您自己正面对其中某个问题吗？我与需要答案、而不是又一份幻灯片的组织合作。我们谈谈。
五个角度短文的结构
这里的大多数主题是一页五个短节，顺序始终如一。文章内每一节各有自己的颜色，方便您跳到所需的部分。
- 1我会从哪里入手：我会迈出的第一步，以及在花钱之前我会先问的问题。
- 2计划在哪里失败：这个主题上的计划通常在哪里出问题，以及我会首先检验的假设。
- 3超越术语：剥去厂商话术之后，这个主题的真正含义。
- 4好的状态是什么样：能告诉您它奏效了的结果，以及我会盯着看的那个数字。
- 5领导者无法回避的抉择：领导层必须承担的决定，以及做出决定需要摆上桌面的东西。
相关服务：NIST Cybersecurity Framework、ISO/IEC 27001、CMMC、安全风险评估、PCI-DSS 合规、SOC 2 合规。
-
如何为安全团队设定可持续的工作量？
根据持续性需求、稀缺技能和事件应对能力来设定安全团队的工作量。采用明确的受理上限、如实的队列指标和运营权衡。
-
如何测试一个声称“已完成”实则出错的 AI 工作流？
用独立的结果检查、贴近现实的失败案例、经过校准的评估器，以及能暴露重大错误的发布关卡，来测试 AI 的虚假完成。
-
如何把网络安全差距评估转化为整改计划？
通过证据核查、共享依赖项、切合实际的人员配置和可测试的验收标准，把评估发现转化为站得住脚的整改计划。
-
关闭一项安全例外需要什么证据？
了解什么证据可以关闭一项安全例外：与范围相匹配的控制措施测试、当前的假设、负责人的复核，以及明确的剩余风险决定。
-
签署网络保险申请之前，应核对哪些证据？
在签署之前，对照实际的系统、访问路径、测试结果和例外，核实网络保险的各项答复，并采用可复现的控制措施证据方法。
-
批准关键供应商之前，应要求哪些安全证据？
超越调查问卷来评估关键供应商：让证据与所提供的服务相匹配，测试影响重大的声明，解决例外，并确定批准条件。
-
服务下线后，主机名归谁负责？
下线对外暴露的主机名，不留下悬空 DNS 或受信任的供应商访问。明确责任、安排变更顺序，并核实实际关闭了什么。
-
您的网络安全差距评估已经完成。接下来呢？
只有当评估发现能够改变预算、责任归属、优先级和运营决策时，网络安全差距评估才有价值。
-
一份真正告诉您该修复什么的网络安全差距分析
我读过足够多的安全报告，深知一百条发现可能让高管得到的答案比评估开始时还少。差距分析应当……
-
董事会网络安全报告
做董事会网络安全报告，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
网络危机领导力
做网络危机领导力，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
网络保险就绪度
做网络保险就绪度，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
高管风险接受
做高管风险接受，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
差距分析
做差距分析，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
政策执行
做政策执行，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
安全预算编制
做安全预算编制，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
安全路线图
做安全路线图，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
变成永久的安全例外
例外不可避免。遗留系统无法支持某项控制措施、供应商需要特殊访问权限，或者期限使得规范的修复很不方便。
-
没人读的风险登记册
大多数风险登记册只写不读。条目在审计期间录入，得到一个颜色，然后一直留在那里，直到下一次审计改变这个颜色。没有人据此做出任何决定……
-
供应商治理
做供应商治理，我不会从再买一个平台或启动大型项目开始。我会先找出边界、责任人，以及一个场景……
-
何时可以安全地接入被收购公司的网络？
通过测试网络范围、身份信任、继承而来的管理权限、监控以及断开连接的能力，判断收购后的哪些工作流可以安全连接。
-
渗透测试报告到手了，接下来怎么办？
报告送到了，足有四十页，里面有三个严重级、十一个高危级，以及一长串其他问题。然后它被录入跟踪系统，下一次测试又发现了其中的大部分……
-
您的网络安全差距评估已经完成。接下来呢？
评估完成了，发现也汇报过了，大家都认同还有工作要做。三个月之后，高风险项仍然处于未关闭状态……
没有匹配项。请换一个词，或直接问我。