我会负责什么
计划，优先事项小到可以完成。预算，支出对应它要降低的风险，而不是对应收到的发票。对 IT、工程、采购和法务的依赖，这正是大多数安全体系真正停滞的地方。供应商，按其所售承诺严格要求。衡量指标，其选择要使“完成”意味着控制措施确实有效，而不是项目结案。以及向上汇报：交付了什么，延误了什么，哪些因为得不到资金而被接受为风险，以及由谁签字。我写过为什么安全体系是一项运营，而不是一份文件，我也会以此方式来运作您的体系。
我如何与 CISO 和业务部门合作
首席信息安全官确定方向，并与董事会就风险展开对话。我让这个方向成为现实，并把证据带给首席信息安全官。与业务方打交道时，我讲求交换：因真实的运营原因，我会书面调整期限，并重新确定风险日期；因个人偏好，我不会调整。这条规则如果始终如一地执行，就是项目管理的大部分。
坦率谈谈是否匹配
这个岗位适合这样的情形：领导层想要交付，并愿意倾听阻碍交付的因素。不适合这样的情形：项目只是在拖延没人愿意做的决定，或者“项目总监”只是“没有权力的项目协调员”。在认真洽谈之前，我想先看到计划、预算和最近三份状态报告；它们会告诉我这个岗位是否真实。
经验从何而来
三十年领导安全、搭建项目和运营的经验，涉及从初创公司到国家政府的各类组织，其中包括那些计划已经写了三遍、却一项也没有交付的组织。大部分工作受保密协议约束。能在这里说的，我都说了。
我就此写过的文章。
如果愿意，请在我们交谈之前读一读这些。它们是这一论点的详尽版本。
相关工作。
我参与处理同样问题的其他方式。
- 为必须转型、而不只是扩张的安全职能提供转型领导领导重建工作：运营模式、团队、工具体系和治理，并按一个既能维持业务运转、又能完成变革的顺序推进。
- 聘请一位亲自主导过响应、而不只是汇报过的首席信息安全官一位带领过应对数据泄露、建设过安全运营、向董事会做过简报的安全负责人。以下是我能为该岗位带来的价值，以及我不适合的情形。
- 聘请一位真正建成安全运营、而不只是做幻灯片的网络安全总监由亲自做过团队所做工作的人，担任安全运营、安全工程或安全项目的总监级负责人。
- 为必须做决定的高管提供顾问，而不是为负责落实的团队为签字的人提供独立判断：该问什么，该相信什么，该决定什么，以及该向董事会说什么。