CISO 应向谁汇报

Risk Neutral CEO Jeff Sauntry 讲述首席风险官（CRO）角色的演变，介绍战略、运营、财务、合规、声誉五大企业风险类别，以及安全负责人如何用董事会语言转译技术风险。

前 CIA CISO Robert Bigman 分享在情报机构从零定义 CISO 职责的经历：制定标准、政策与治理框架是核心工作，高风险环境下要学会从失误中恢复与迭代，并为高层提供网络风险决策支持。

NetSPI 文章指出电子邮件已从单纯通讯工具演变为即时消息、文件传输与数据存储平台，随之带来 HIPAA、PCI 等合规责任；建议加强用户加密意识培训，并辅以附件限制、DLP、邮件服务器敏感信息扫描等管控措施。

PCI 合规正迫使医疗机构系统性地思考风险，其催生的跨部门协作团队也开始着手 HIPAA 与 HITECH 合规，带动整个行业安全成熟度提升。

只要第三方医疗软件存储、处理或传输持卡人数据，PA-DSS 即适用。Visa 设定的 2010 年 7 月大限在即，医疗软件厂商必须尽快启动验证。

商户与服务提供商需要的是伙伴而非单纯的审计者。QSA 的职责应超越「通过 PCI 审计」，帮助客户理解各卡组织的额外要求并建立更全面的安全能力。