麥當勞安全主管談如何與公司董事建立關係 - 《華爾街日報》

Cheryl Winokur Munk

2022-08-29

作者：謝麗爾·維諾庫爾·芒克2022年8月29日上午5:30 ET|華爾街日報專業版麥當勞公司首席信息安全官肖恩·馬里昂表示，在領導大型上市公司網絡安全工作期間，他學會了與董事會成員建立聯繫。圖片來源：麥當勞公司歷史上，忙碌的董事會往往壓縮首席信息安全官的會議時間，或依賴他人進行網絡安全簡報。如今，美國證券交易委員會和其他監管機構正敦促董事會加強對網絡安全風險的監督。

相應地，首席信息安全官必須與通常對網絡安全瞭解不多的董事建立良好關係。

麥當勞公司首席信息安全官肖恩·馬里昂表示，企業安全負責人這一角色的相對年輕有時會妨礙與擁有數十年商業經驗的董事會成員建立融洽關係。

“有多少首席信息安全官擁有20到25年的網絡安全經驗？“馬里昂先生説，“我認為存在成熟度差距和溝通差距。”

麥當勞首席信息安全官肖恩·馬里昂至少每季度與全體董事會或部分董事開會一次。圖片來源：克里斯托弗·迪爾茨/彭博新聞在麥當勞，馬里昂先生至少每季度與全體董事會或部分董事舉行會議。這包括一次與全體董事會的年度會議，兩次與公共政策及戰略委員會（該委員會負責監督信息風險管理等領域）的30分鐘會議，以及其他必要的會議。麥當勞上週新增了三位新董事進入董事會。

在13個月前加入這家快餐連鎖企業之前，馬里昂先生曾在廢物管理巨頭共和服務公司和工業製造商霍尼韋爾國際公司負責網絡安全工作。他與《華爾街日報》專業版網絡安全欄目討論瞭如何與董事建立聯繫。為清晰和簡潔起見，他的評論經過了編輯。

**《華爾街日報》專業版：**董事們希望瞭解什麼？你如何向他們呈現這些信息？

**馬里昂先生：**有一些共同的主題，我在三家不同的上市公司中已經進行了大約10年的彙報。每個人都希望看到公司內部的風險指標和狀態。他們通常希望瞭解關鍵舉措的最新進展——我們正在推進哪些重大項目？例如，當SolarWinds事件爆發（2020年底）時，我恰好在三週後參加了一次董事會會議，因此我專門準備了一頁幻燈片介紹SolarWinds事件及其對我們的影響。在我工作過的每家公司，我們都採用NIST網絡安全框架作為結構，通常會有一頁幻燈片展示我們如何按照該框架逐步成熟。

在加入麥當勞之前，肖恩·馬里昂曾擔任廢物管理公司Republic Services和工業製造商霍尼韋爾的網絡安全負責人。圖片來源：JOSHUA ROBERTS/路透社**《華爾街日報》專業版：**您如何決定何時讓董事會參與網絡安全事務？

**馬里昂先生：**這實際上取決於事件的性質及其嚴重程度。根據我的經驗，任何可能登上媒體——無論是社交媒體還是傳統媒體——的事件，我們都會主動提前通知董事會，因為沒人希望他們感到意外。通常還會有一份年度報告，彙總所有達到特定閾值的網絡安全事件。這個閾值因公司而異。

**《華爾街日報》專業版：**當發生Log4j和SolarWinds這類重大網絡安全事件時，您與董事會的溝通是怎樣的？

**馬里昂先生：**根據我的經驗以及與同行的交流，即使在網絡安全事件期間，也不會每天與董事會保持聯繫。他們有自己的日常工作，通常還在運營自己的上市公司。他們想知道的是：我們是否根據漏洞本身管理了相應風險？這會對公司產生實質性影響嗎？因此對於Log4j和SolarWinds事件，我們只做了簡要彙報：這是您需要了解的，媒體將會報道這些內容，這是我們的響應時間表，這是我們評估的剩餘風險及其持續週期。

WSJ專業版： 這些年來情況發生了哪些變化？

馬里昂先生： 十年前，人們關注的是技術細節。如果SolarWinds事件發生在十年前，首席信息安全官們會試圖解釋什麼是SolarWinds、為什麼使用它、其工作原理以及攻擊如何發生——而董事會成員則會聽得一頭霧水。如今董事會只想瞭解：公司是否會面臨需要他們擔憂的風險？

WSJ專業版： 哪些錯誤會妨礙首席信息安全官與董事會有效合作？

馬里昂先生： 過度深入技術細節。不是他們不關心，而是他們理解不了。即便你每季度有一小時與董事會面——全年也只有四小時。這不足以讓他們完全理解技術細節。另一個重大錯誤是（缺乏）簡潔性。你需要直擊要害，説完關鍵點就結束。他們要討論的議題很多，你必須明白你只是其中一部分。

刊載於2022年8月30日印刷版，標題為《安全主管如何與董事會建立信任紐帶》