CISO 的挑战：衡量安全成果

CISO 向董事会汇报安全成效常如西西弗斯推石。仅以「无事件」定义成功几乎无法为持续的安全投入辩护，唯有对抗性测试——用真实攻击者的 TTPs 检验防御——才能暴露超出风险承受范围的缺陷，支撑预算决策。