中華公司治理協會

NEWS

董事會應認識的網絡風險

【作者】    Anand Venkatraman
【資料來源】    Money Control
【發佈日期】    2018年 12月 5日
【介紹者】    閻書孝研究員
【審訂者】    邱明志委員
【簡介】

印度Kotak(按：印度金融集團)委員會的公司治理報告，要求強化組織核心的董事會功能性委員會之職掌範圍及開會頻率，特別將辨識網絡風險程序納入。

此外，它要求印度前500大公司要把此議題當作必要調研項目，並呼籲重視網絡安全，作為風險管理委員會檢視的一環。最近對銀行界的巡迴演講，印度儲備銀行(RBI)已經明令對高階經理人及董事會實施安全意識培訓計畫，使他們熟悉重大網絡安全概念。

監理要求的改變顯示主管機關對確保企業生態系統之網絡風險管理有積極興趣，並且強調在董事會討論網絡安全的重要性。

過去幾年間，隨著經濟活動繁榮，網絡入侵事件也日益增多。網絡安全事件的實際衝擊，包括財務與商譽上的損害，比如資金與資料被盜，系統毀損，監理罰款與法律費用，喪失競爭優勢與企業伙伴及客戶信任。

由於代價高昂，因此強化網絡安全能力今日已成為很多組織及其利害關係人首要的課題。

儘管組織內的每個人在維護網絡安全狀態上都扮演重要角色，但從治理觀點看，董事會成員是最關鍵的。

根本問題是—董事會成員在確保有效管理網絡風險上，肩負什麼角色與責任？

當內部稽核部門以及法定查核工作朝向將網絡安全納入關鍵報告事項時，董事會與高階經理人應該更積極於確認與管理和網絡安全有關的風險。

而起點就是將網絡安全整合到企業風險管理架構成為其中一個關鍵要素。

為了管理網絡安全風險，組織（董事會與管理階層）應該問自己以下幾個關鍵問題：

責任歸屬(Ownership)：組織內關於網絡安全有適當的責任歸屬嗎？
適當的人才：是否派任具正確技能、經驗與才能的人，負責組織內網絡安全事務嗎？
資源：對網絡安全科技有正確投資嗎？如何檢測其效能？
組織文化：組織上下具備關注網絡的思維及網絡意識的文化嗎？
第三方風險：在保護組織免於第三方網絡風險上做了什麼？
檢測：組織的網絡風險計畫的效率與效能為何？
策略：組織的網絡風險計畫有連結到營運嗎？具備彈性及未來性的嗎？

現今有多個可運用的架構與標準，或許可以協助董事會及管理階層回答上述問題。

然而，董事會的責任是要確保這個架構或標準在組織內的採行與落實。董事會也應該要注意去確認組織最有價值的活動而它是對營運最重要的事務，並確保這些事務保護得當而免於網絡威脅。

在第四次工業革命之際，在很多領域出現了技術突破，諸如人工智慧、機器人、量子計算、3D列印等，這些都會帶動實體、數位及生物領域的整合。

新的整合性生態系統，不只豐富人類生活，也增加了網絡安全風險。組織必須提升其管理網絡風險的能力，以確保它們在第四次工業革命的轉型上，能長期永續經營。

因此，最重要的就是組織的董事會及高階經理人從策略上評估網絡風險，以確保長期永續經營。

【網址連結】
https://www.moneycontrol.com/news/technology/recognising-cyber-risks-in-the-boardroom-3252301.html

BACK PAGE