麦当劳安全主管谈如何与公司董事建立关系 - 《华尔街日报》

Cheryl Winokur Munk

2022-08-29

作者：谢丽尔·维诺库尔·芒克2022年8月29日上午5:30 ET|华尔街日报专业版麦当劳公司首席信息安全官肖恩·马里昂表示，在领导大型上市公司网络安全工作期间，他学会了与董事会成员建立联系。图片来源：麦当劳公司历史上，忙碌的董事会往往压缩首席信息安全官的会议时间，或依赖他人进行网络安全简报。如今，美国证券交易委员会和其他监管机构正敦促董事会加强对网络安全风险的监督。

相应地，首席信息安全官必须与通常对网络安全了解不多的董事建立良好关系。

麦当劳公司首席信息安全官肖恩·马里昂表示，企业安全负责人这一角色的相对年轻有时会妨碍与拥有数十年商业经验的董事会成员建立融洽关系。

“有多少首席信息安全官拥有20到25年的网络安全经验？“马里昂先生说，“我认为存在成熟度差距和沟通差距。”

麦当劳首席信息安全官肖恩·马里昂至少每季度与全体董事会或部分董事开会一次。图片来源：克里斯托弗·迪尔茨/彭博新闻在麦当劳，马里昂先生至少每季度与全体董事会或部分董事举行会议。这包括一次与全体董事会的年度会议，两次与公共政策及战略委员会（该委员会负责监督信息风险管理等领域）的30分钟会议，以及其他必要的会议。麦当劳上周新增了三位新董事进入董事会。

在13个月前加入这家快餐连锁企业之前，马里昂先生曾在废物管理巨头共和服务公司和工业制造商霍尼韦尔国际公司负责网络安全工作。他与《华尔街日报》专业版网络安全栏目讨论了如何与董事建立联系。为清晰和简洁起见，他的评论经过了编辑。

**《华尔街日报》专业版：**董事们希望了解什么？你如何向他们呈现这些信息？

**马里昂先生：**有一些共同的主题，我在三家不同的上市公司中已经进行了大约10年的汇报。每个人都希望看到公司内部的风险指标和状态。他们通常希望了解关键举措的最新进展——我们正在推进哪些重大项目？例如，当SolarWinds事件爆发（2020年底）时，我恰好在三周后参加了一次董事会会议，因此我专门准备了一页幻灯片介绍SolarWinds事件及其对我们的影响。在我工作过的每家公司，我们都采用NIST网络安全框架作为结构，通常会有一页幻灯片展示我们如何按照该框架逐步成熟。

在加入麦当劳之前，肖恩·马里昂曾担任废物管理公司Republic Services和工业制造商霍尼韦尔的网络安全负责人。图片来源：JOSHUA ROBERTS/路透社**《华尔街日报》专业版：**您如何决定何时让董事会参与网络安全事务？

**马里昂先生：**这实际上取决于事件的性质及其严重程度。根据我的经验，任何可能登上媒体——无论是社交媒体还是传统媒体——的事件，我们都会主动提前通知董事会，因为没人希望他们感到意外。通常还会有一份年度报告，汇总所有达到特定阈值的网络安全事件。这个阈值因公司而异。

**《华尔街日报》专业版：**当发生Log4j和SolarWinds这类重大网络安全事件时，您与董事会的沟通是怎样的？

**马里昂先生：**根据我的经验以及与同行的交流，即使在网络安全事件期间，也不会每天与董事会保持联系。他们有自己的日常工作，通常还在运营自己的上市公司。他们想知道的是：我们是否根据漏洞本身管理了相应风险？这会对公司产生实质性影响吗？因此对于Log4j和SolarWinds事件，我们只做了简要汇报：这是您需要了解的，媒体将会报道这些内容，这是我们的响应时间表，这是我们评估的剩余风险及其持续周期。

WSJ专业版： 这些年来情况发生了哪些变化？

马里昂先生： 十年前，人们关注的是技术细节。如果SolarWinds事件发生在十年前，首席信息安全官们会试图解释什么是SolarWinds、为什么使用它、其工作原理以及攻击如何发生——而董事会成员则会听得一头雾水。如今董事会只想了解：公司是否会面临需要他们担忧的风险？

WSJ专业版： 哪些错误会妨碍首席信息安全官与董事会有效合作？

马里昂先生： 过度深入技术细节。不是他们不关心，而是他们理解不了。即便你每季度有一小时与董事会面——全年也只有四小时。这不足以让他们完全理解技术细节。另一个重大错误是（缺乏）简洁性。你需要直击要害，说完关键点就结束。他们要讨论的议题很多，你必须明白你只是其中一部分。

刊载于2022年8月30日印刷版，标题为《安全主管如何与董事会建立信任纽带》

麦当劳安全主管谈如何与公司董事建立关系 - 《华尔街日报》

延伸阅读

观点：美联储面临的新难题：强劲的经济

观点：莱蒂西亚·詹姆斯为打击特朗普牺牲法治

观点：内塔尼亚胡为“后哈马斯时代”制定的大胆而现实的计划

观点：值得注意与引用：拜登像里根？

观点：电动汽车排放更多烟尘

观点：高等教育仍能为你做什么