美國著名服務(wù)可靠性評(píng)估權(quán)威機(jī)構(gòu)波耐蒙研究所(Ponemon Institute)為服務(wù)提供商埃森哲咨詢公司所做的一項(xiàng)研究表明：對(duì)安全采取積極主動(dòng)態(tài)度和方法的公司更容易實(shí)現(xiàn)安全目標(biāo)。

研究把公司分為兩類：跨越式公司和穩(wěn)態(tài)式公司，前者注重創(chuàng)新和發(fā)展，后者等級(jí)更加嚴(yán)格，機(jī)制較為傳統(tǒng)。研究發(fā)現(xiàn)，成功的公司對(duì)待網(wǎng)絡(luò)安全更為嚴(yán)肅，擁有更深入徹底的安全戰(zhàn)略與措施，聘用專職***信息安全官(CISO)，也更傾向于向***執(zhí)行官(CEO)和董事會(huì)報(bào)告安全事件。

研究報(bào)告稱：“跨越式的公司更可能有正式批準(zhǔn)的安全戰(zhàn)略，這一安全戰(zhàn)略也更有可能成為該公司安全項(xiàng)目的主要驅(qū)動(dòng)力。他們采用風(fēng)險(xiǎn)管理技術(shù)確定他們的安全戰(zhàn)略，并將物理和邏輯安全系統(tǒng)集成到一起。”

在跨越式的公司中，與安全相關(guān)聯(lián)的職責(zé)與權(quán)限都有清晰的定義。員工不僅僅要清楚安全需求，還負(fù)有遵循安全規(guī)程的責(zé)任。”與之相反，所謂的穩(wěn)態(tài)型公司更傾向于依賴規(guī)程而不是戰(zhàn)略來驅(qū)動(dòng)他們的安全需求。“安全工作主要放在應(yīng)付外部威脅上，且更強(qiáng)調(diào)預(yù)防而非檢測(cè)或遏制。這幾點(diǎn)特征對(duì)于公司在自身安全態(tài)勢(shì)實(shí)效上取得顯著改善沒有任何幫助。”

對(duì)那些落后的公司，埃森哲建議先從設(shè)立有實(shí)權(quán)的專職CISO開始，并輔以分配專用安全預(yù)算和擴(kuò)展安全團(tuán)隊(duì)來保證公司網(wǎng)絡(luò)安全防御中盡量不留死角。

“跨越式公司更傾向于將信息安全視為優(yōu)先事務(wù)，并將它們的安全目標(biāo)與業(yè)務(wù)目標(biāo)整合統(tǒng)一起來。他們把安全看作達(dá)成業(yè)務(wù)目標(biāo)的推進(jìn)器，且能夠在例外情況下(有時(shí)候業(yè)務(wù)需求會(huì)超越安全需求)當(dāng)安全阻礙了業(yè)務(wù)目標(biāo)時(shí)進(jìn)行適當(dāng)?shù)恼{(diào)整適應(yīng)。”