提升金融机构网络安全成熟度_风险管理领先实践_24页_2mb

提升金融机构网络安全成熟度总结

核心内容

本报告由德勤金融服务行业研究中心与金融服务信息共享与分析中心（FS-ISAC）联合发布，旨在评估金融机构在网络安全方面的成熟度、预算分配及管理实践。报告基于对97家金融机构的调研，涵盖不同规模和行业的企业，探讨了如何通过提升网络安全意识、组织架构和战略协同，增强金融机构的网络安全能力。

主要观点

• 网络安全成熟度分级：根据NIST网络安全框架，网络安全成熟度分为四个等级：初始级、可知晓级、可重复级和自适应级。其中，自适应级企业具备最高的成熟度，能够根据经验教训和预测指标自动调整网络安全活动。
• 网络安全预算分配：金融机构平均将IT预算的10%用于网络安全，占总收入的0.3%。不同规模企业之间存在明显差异，大型企业投入比例更高，但人均支出略低于中小企业。
• 网络安全与业务战略协同：自适应级企业更注重网络安全与业务战略的结合，将其视为推动创新和应对竞争的关键因素。
• CISO的汇报路线：自适应级企业的CISO往往向首席运营官（COO）和首席风险官（CRO）汇报，而非仅限于IT部门。这表明网络安全在企业中的战略地位正在提升。
• 网络安全意识提升：自适应级企业更重视提升全员网络安全意识，包括跨部门培训与协作，以应对日益复杂的网络威胁。

关键信息

网络安全成熟度水平

网络安全预算与支出

• 网络安全费用占IT总预算：平均为10%，其中小型企业为12%，大型和中型企业为9%。
• 网络安全费用占总收入：平均为0.3%，其中小型企业为0.2%，中型企业为0.5%，大型企业为0.4%。
• 人均网络安全支出：平均为2,300美元，其中小型企业为2,100美元，大型企业为2,700美元。
• 行业差异：银行略高于行业平均水平，非银行金融服务公司和保险公司则低于平均水平，但均在0.3%左右。

成熟度为自适应级企业的特征

1. 董事会与高管的参与：自适应级企业董事会和高管对网络安全表现出更高的兴趣和关注，认为网络安全是企业整体战略的重要组成部分。
2. 网络安全独立于IT部门：自适应级企业倾向于将网络安全职能从IT中独立出来，以提升其战略影响力和执行力。
3. 网络安全与业务战略协同：网络安全被视为业务增长和创新的关键支持，而非仅是技术问题。

企业规模与网络安全策略的差异

• 大型企业：更倾向于内部管理网络安全，较少依赖外包，CISO多向CIO或CTO汇报，但部分企业开始向COO或CRO汇报。
• 中型企业：网络安全预算和支出相对较低，但更有可能将CISO纳入高级管理层。
• 小型企业：网络安全预算投入比例较高，但整体投入规模较小，人均支出相对较低，且多将CISO向CEO汇报。

网络安全挑战排名（按成熟度）

结论

提升网络安全成熟度不仅仅是增加预算投入，更需要在组织架构、战略协同和意识提升等方面持续优化。自适应级企业通过高层参与、网络安全职能独立以及与业务战略紧密结合，展现了更强的适应能力和防御能力。无论企业规模如何，网络安全都应成为企业战略规划的一部分，并通过跨部门协作与持续改进，确保在面对不断变化的网络威胁时保持敏捷和高效。