据Gartner的最新调查，由于网络风险责任已被转移到IT以外，并且日益分散的生态系统导致网络安全领导者正在失去对决策的直接控制权，企业机构需要重新定义网络安全领导者的角色。

如今，安全和风险管理领导者投入大量精力评估和改变外部各方的网络健康状况但企业员工正在做出更多涉及网络风险的决策，执行委员会也在网络安全领导者的职权范围之外成立

Gartner分析师表示，这些因素削弱了网络安全领导者对许多决策的直接控制权，这些决策本该属于他们的职责范围。

Gartner研究总监Sam Olyaei表示:网络安全领导者现在处于一个筋疲力尽，劳累过度但又随时待命的状态这反映出在过去十年中，企业机构内部利益相关者的期望分歧日益加剧，这一角色的职责范围被严重扩大

网络风险责任将扩展到IT之外

根据Gartner最近的一项调查，88%的董事会认为网络安全不但是一个IT技术问题，还是一种业务风险13%的董事会选择建立由专门董事监管的网络安全董事委员会来应对这一问题

Gartner预测，到2026年，与网络安全风险相关的绩效要求将会出现在过半数企业高管的劳动合同中。出台网络安全法，数据安全法，个人信息保护法，《国家网络空间安全战略》《关键信息基础设施安全保护条例》等网络安全法律法规和战略规划，网络空间法治进入新时代；。

这影响了信息风险决策的及时性和质量，这些决策越来越多地由IT或安全业务线之外的利益相关者做出Gartner预计，这一责任将不可避免地转移到业务领导者身上，他们将要负责向CEO交付战略目标，比如收入和客户满意度等

伴随着网络风险责任正式转移到业务领导者身上，Gartner分析师认为企业机构必须重新定义网络安全领导者的角色才能取得成功。

图一，网络安全领导者的角色需要重构

Olyaei表示:首席信息安全官的角色必须从负责应对网络风险的实际责任人，转变成确保业务领导者具备足够的能力和知识来做出明智，高质量的信息风险决策的指路人。

网络安全将被纳入ESG报告予以披露

投资者的关注，公众的压力，员工的要求和政府的规定正在进一步激励企业机构在其环境，社会和治理工作中追踪和报告网络安全目标与指标，并将此作为一项业务要求。

因此，Gartner预测到2026年，30%的大型企业机构将公布以网络安全为重点的ESG目标，而2021年的这一比例还不到2%。

Gartner研究总监Claude Mandy表示:公众希望能够更清楚地了解企业机构的安全风险，因此要求在其ESG报告中更加透明地披露这一点网络安全已不仅仅是企业机构的风险，而是全社会的风险