国际风向标：将网络安全纳入公司管理层薪酬考核指标

据悉，一些公司开始将首席执行官和其他高层领导的奖金与网络安全指标挂钩。治理专家表示，这一举措可能使公司更安全地抵御黑客攻击。

这一做法在美国大公司中逐渐普及。会计和咨询公司安永的最新研究显示，2022年财富100强公司中，有9家将特定高管的部分短期奖金与网络安全目标相关联。安永表示，2018年还没有公司采取上述措施。

美国知名代理咨询公司机构股东服务（ISS）的数据部门ISS ESG发现，去年全球超过15000家上市公司中，有86家采取了这种做法，包括美国制药公司强生、伦敦证券交易所和英国Paragon银行集团。

ISS公司高级网络安全中心执行主席William Guenther表示，网络安全通常由技术和安全部门负责。但是他认为，网络安全目标应该提升到更高层面，并与高级高管的薪酬计划挂钩，这有助于将安全因素纳入公司战略决策。他补充道：“这虽然是一小步，却是非常重要的一小步。”

图源：图虫

已有企业开始实践，考核指标设定具有挑战性

2017年，信用评级机构艾可飞（Equifax）发生大规模数据泄露事件，引发了总额达14亿美元的消费者诉讼。此外，事件造成的与各州和解费用、技术费用总计超过10亿美元。

从那时起，艾可飞就将部分高管奖金与网络安全目标挂钩。2018年，艾可飞制定了一项多年计划，以解决导致数据泄露的问题。如果未能实现网络安全指标，高管的短期现金奖金将有缩水的风险。

艾可飞董事会已将安全纳入环境、社会和企业治理目标，据此确定每年高管奖金和合格员工的年度激励计划奖金。根据艾可飞的最新代理声明，员工必须达到网络安全部门设置的一项或多项与其职务相关的安全目标。

像艾可飞一样，许多公司不在公开文件中详细说明他们的网络安全指标。但是，也有一些公司会这样做。2022年各公司的代理文件列出了一些指标，如提高特定网络安全准备措施的得分、制定三年网络安全计划。

安永美洲审计委员会论坛领导Patrick Niemann表示，尽管这样做的公司数量不多，但这些披露显示董事会越来越关注网络安全。

尽管如此，Patrick Niemann认为，确定与薪酬挂钩的网络安全目标仍然具有挑战性。他说，并不是说某一年没有遭受黑客攻击就能获得奖金，遭受黑客攻击就会失去奖金，事情没有这样简单。相关指标正在不断演化。他说：“他们正在尝试各种方法。我们只能看出一点，几乎所有董事会都将网络安全视为优先级最高的事项。”

企业推行惩罚性指标，难以推动长效变革

有时，网络安全和奖金之间的关联更多地以惩罚而非奖励的形式存在。

澳大利亚健康保险巨头Medibank私人保险公司从未将具体网络安全目标与高管薪酬挂钩。然而，2022年，公司遭遇网络攻击，损失超过4600万美元。

这次攻击暴露了近1000万人的个人数据，其中包括一些病历数据。因此，Medibank董事会于上周取消了首席执行官、首席财务官和其他两名高层领导的短期奖金。这些高管共计失去了360万美元奖金。

Medibank董事们在2023年年度报告中写道，“考虑到我们客户、股东和社区的期望，董事会行使了自由裁量权。”

Medibank发言人说，“网络犯罪事件发生时，我们的董事长曾表示，会有承担后果的时候。大家可以在我们上周发布的公告中看到这些后果是什么。这是一起严重的事件，必然会带来严重的后果。”

高级网络安全中心执行主席William Guenther表示，公司应该提前明确他们对高管的期望。他说，网络攻击后的采取惩罚措施，很难带来持续变革。制定指标需要得到支持，“否则会毫无意义。”

图源：包图网

将网络安全纳入公司管理层薪酬考核指标不仅是国际的风向标，近年来国内也有相同的行业发展新风向。

2019年3月7日，国务院国有资产监督管理委员会发布了新版《中央企业负责人经营业绩考核办法》，与旧版的考核办法不同的是，新的考核办法中增加了对网络安全事件的考核要求；

2021年8月4日，《人民日报》头版发布《中国共产党党内法规体系》一文。同时，《中国共产党党内法规汇编》公开发行，收录了《党委（党组）网络安全工作责任制实施办法》（以下简称《实施办法》）。《实施办法》作为《中国共产党党内法规体系》唯一收录的网络安全领域的党内法规，它的公开发布对厘清网络安全责任、落实保障措施、推动网信事业发展产生了巨大影响；

今年7月，深圳证监局表示，因中信证券在2023年6月19日的网络安全事件中，存在机房基础设施建设安全性不足，信息系统设备可靠性管理疏漏等问题，决定对其采取出具警示函的行政监管措施。同时，中信证券首席信息官兼信息技术中心行政负责人、信息技术中心分管运维负责人、信息技术中心机房与网络负责人等3人，对相关问题负有责任也被出具警示函；同时值得关注的是，近两年，交易系统发生“事故”的券商并非个例，且均受到证监会和当地证监局的同时关注……

可见，无论是国际还是国内，网络安全越来越受到重视，且已上升至国家战略高度。这将极大地增强相关企业负责人的网络安全意识并增加网络安全相关的投入，同时也为专业从事网络安全的企业或机构带来新的机遇。

御盾®安全是舜源科技旗下安全业务品牌，致力于为客户提供客观专业的信息安全咨询解决方案，同时提供全面的安全服务。我们长期与各大安全厂商保持良好的合作关系，涵盖国内外信息安全行业的主流厂商，通过了解技术发展趋势，把国内外先进技术和理念用一流的服务带给客户。公司通过多年的积累和发展，拥有了健全的数字化生态合作资源链、与各地信息安全服务机构建立了良好的合作关系。我们长期密切关注国家信息安全相关政策的动态变化，在企业信息安全防护建设工作实践中积累了丰富的经验，了解客户业务场景需求、熟悉国内外主流安全厂商的技术和产品的优缺点，可为用户量身定制专属安全解决方案。多年来，凭借过硬的技术实力和专业的服务能力，获得了广大客户的充分认可。未来，御盾安全将持续赋能更多的客户，帮助企业全面提升安全能力，推动企业信息化健康发展。

部分素材来源：华尔街日报
御盾安全团队编译