现任脸书安全长Alex Stamos?在去年六月从雅虎离职的重要原因就是，雅虎执行长Marissa Mayer在作与用户权益相关的决策时，将资安长排除在决策之外。现在，雅虎也会因为当初的不当决策，併购的Verizon可能要求减价10亿美元做为未来的赔偿準备金。
图片来源:企业对IT的依赖越深，也就更有可能设置资讯长（CIO）这样的角色，不论是提升效率、降低成本或是改善流程等，都可以说是资讯长的专长之一。但是，便利与安全往往是天平的两端，哪一端法码重一点，哪一端就会往下沈，因此，如果一个公司要求资讯长同时兼任安全长（CSO）或资安长（CISO）的角色，长期而言，并不适合，尤其是，公司规模如果大到一定程度时，资讯长若同时身兼资安长的角色，很容易演变成「球员兼裁判」的窘境，毕竟，自己怎幺可能发现自己的作为是有风险，甚至还会自己惩罚自己呢？
也因此，公司规模大到一定程度，或者是公司的营运型态，每个环节都必须从风险角度加以控管时，设置一个独立的资安长，就是增加一个可以在公司营运流程上，做控管、踩煞车的角色。
好的资安长的量化价值是，可以帮公司少赔多少钱
资安长在公司扮演的角色和资讯长并不一样，好的资安长不见得可以直接帮公司「赚」多少钱，确有可能帮公司少赔多少钱，或是减少不必要的损失或罚款。近期最好的例子就是，脸书现任资安长Alex Stamos为什幺在去年6月，选择从雅虎跳槽到脸书的原因。
Alex Stamos之前是担任雅虎的资安长，选择离职的重要原因之一就是，雅虎执行长Marissa Mayer在2016年5月接到来自美国联邦调查局（FBI）或是国家安全局（NSA）的指令，要求雅虎配合政府政策，搜寻并过滤使用者电子邮件内容。而身为公司最高管理阶层的Marissa Mayer，并没有坚守保护雅虎使用者隐私权的责任，便和少数高层决定遵循美国政府下达的机密指令，甚至直接越过资安长和其他公司高层，下令电子邮件部门的工程师，撰写监听过滤使用者电子邮件内容的监听程式。
Alex Stamos所属的资安团队，在这个监听程式上线几週后，就发现这个异样的程式，当时甚至以为是骇客入侵雅虎安装这样一个监听程式。直到后来发现是Marissa Mayer直接下达开发监听程式的指令后，Alex Stamos认为，在这种与用户相关的重大资安决策过程被排除在外时，也就兴起不如归去的念头，便在6月跳槽到脸书工作，担任脸书安全长一职。
电信业者Verizon在今年7月，决定以48.3亿美元的价格併购雅虎公司，但随即在9月传出雅虎外洩5亿名用户资讯，并且有用户开始集体诉讼求偿时，Verizon为了未来可能因为外洩用户资讯而必须负担的损失时，甚至可能将併购雅虎的价格，直接减少10亿美元做为未来打官司和赔偿的準备金。
从这起Verizon併购雅虎事件来看，因为资安议题可能面临的求偿和损失，代价至少是10亿美元的準备金。也就是说，如果，今天雅虎的作业和隐私保护流程，都有资安长及其团队的缜密把关时，面临併购之际，雅虎也不用担心，被併购方要求减价10亿元做为未来赔偿的準备金。
换句话说，评估一个安全长或资安长是否称职，不是从相关的作为到底可以帮公司赚多少钱来衡量，反而是，今天这个资安长的建议，可以让公司少赔多少钱，或者是，因为做了某个作为后，就不会被处罚多少钱等相关损失，作为评估这个安全长或资安长的价值。
若以个资法的法规遵循为例，今天一个好的安全长或资安长在协助公司因应个资法的威胁时，除了因为举证责任倒置，必须协助企业，要能证明的确有落实相关的个资保护措施外，也是帮公司避免高达2亿元的赔偿和可能的刑事及民事责任。因此，公司的安全长或资安长在个资保护议题上的量化价值就是，帮公司避免可能高达2亿元的赔偿和民、刑事责任。
好的资安长，有安全观念比懂IT技术更重要
一个好的资安长的工作内容，将安全从资讯系统扩大到实体安全与人员安全，也必须兼顾规画能力、工作热忱和工作绩效评估等相关能力，才是判断是否适任资安主管的重要特质。
好的资安长涵盖面很广，不仅要十八般武艺样样具备，要懂得包括IT、资安、稽核、法律、财务和管理等相关能力，最基本，也要能够掌握系统风险，落实法规遵循的要求外，对于企业内的各个流程和环节，像是风险管理、稽核、法务、财务等面向，资安长都有机会跨足并涉猎相关的安全管理。
也因此，资安长的「安全观念」比「IT技术」更重要，因为，安全观念一旦错了，可能赔进整个公司或造成公司重大的损失，例如Verizon要求减价10亿美元併购雅虎；但是，IT技术如果不懂，其实还可以花钱买专业的资安谘询和技术服务等。
许多外商公司的董事会成员中，都会有懂资安的代表，而公司营运报告中，资安往往是最重要的报告事项之一，绝对不会像是台湾企业一样，董事会报告只看公司赚多少钱、赔多少钱、这个营业项目可以帮股东赚多少钱等等，只要是攸关这个公司能否维持正常营运的种种事项，尤其是与安全、风险相关的内容，都应该列为台湾企业董事会的报告内容之一。
资安人员要通报公司营运风险时，要有直达天听的管道
不过，台湾企业对于资安的忽略，使得公司不仅不愿意投资在资安上，甚至于，更遑论聘僱专业的资安人员。也因此，一旦公司面临作业和营运流程上的疏失，急需要专业的资安人员提供建议时，往往只能花大钱聘请外部的专业顾问协助。
但问题是，外部顾问再怎幺专业，很多作业流程甚至是产业的专业知识等，还是内部成员最清楚，最终，内部还是得要有一个专门的资安人员，作为和外部资安顾问桥接的窗口。如果早晚都必需要有这样的资安窗口设置，为何不能及早设置呢？
「有人的地方，就有江湖」，多了一个职务，就得面临企业内的资源如何重新分配的问题，甚至是另外一种资源竞逐的开始。但是，如果要能够彻底发挥资安长可以扮演的角色，或者是，只是一个资安专门人员扮演的角色，公司高阶主管一定要赋予该名人员一个「直达天听」的管道。
也就是说，一旦这些资安长或资安人员有发觉到，有任何的作为会影响到公司系统安全、营运安全，甚至是公司能否持续营运等重要关键议题时，这时候，资安长或是资安人员等，都可以直接越级上报，越过所有的主管阶层，直接通报最高的总经理、执行长、董事长等等，让这些负起公司营运全责的角色，可以在第一时间内就掌握到最新情报。
也因此，如果公司规模够大，资讯长和资安长因为任务不同、立场不同，不应该由同一个人兼任，甚至于，应该是独立的两个资讯和资安部门的主管，各自扮演适当的角色才是。
但如果公司规模中等，有资讯部门的设置，却没有办法独立出资安部门时，资讯部门往往会同时有资讯和安全的专门人员在内，那如何做好内部分工，并设定适当的评量指标，像是，降低成本、提供效率就不可能是资安人员的KPI，让资安人员可以从系统面和流程面检视营运风险所在，就可以发挥资安人员最大的功用。
如果只是一个小公司，至少要做到守法，公司才能继续营运，这种小规模公司可能连IT人员都没有的情况下，更遑论要有资安人员。因此，守法是小公司的基本，其他的，则可以透过适当的资安委外，选择重视资安的委外服务业者来减少小公司营运的风险，才是上策。
?
上週重要资安新闻（10/02～10/08）：
※iPhone 7启动锁错乱，连接非用户本人Apple ID
※Yahoo资料外洩争议，传Verizon要求收购价降10亿美元
※大神也出包，Linux核心4.8 RC版有重大瑕疵，Torvalds出面道歉
※万物可骇，娇生警告旗下胰岛素帮浦有漏洞，恐影响正常胰岛素注射
※研究人员用48个字元命令就能瘫痪Linux systemd
※中了MarsJoke勒索软体别急着付赎金， 卡巴斯基释出解密工具
※骇客公布恶意程式Mirai原始码，让数十万IoT装置组殭尸网路大军的元兇现形
?
?
I 相关 / Other
云南网讯（记者杨之辉通讯员张利将王丽波）看似正常的经营活动却隐藏着买卖双方的罪恶交易，以收购、销售牛羊皮为幌子，为他人虚开增值税专用发票281份，票面金额累计28051965.86元，非法抵扣税款476万余元。日前，由
南韩偶像男团EXO成员张艺兴昨天要从仁川机场出境前往日本札幌之际，突然发热晕倒，被消防人员紧急送医救治。EXO所属经纪公司SM娱乐发表正式立场称，他是因睡眠不足。南韩“日刊体育”今天引述SM娱乐相关人士报道，“
中新网10月12日电据台湾“中国时报”消息，韩国男子偶像团体EXO最近忙着海外行程，大家都相当疲惫。11日中午，团员现身首尔机场，要飞到日本工作，没想到粉丝兴奋围观的同时，团中唯一的大陆成员张艺兴突然晕倒，被紧
一则题为《被骗其实比你想象的容易-常州奔牛机场游后感》的帖子近日出现在本地网络论坛中，网友“吃货谁能懂”表示，在奔牛机场遭遇了所谓“VIP休息室”、“打折机票”等骗局。“吃货谁能懂”称，10月6日，他和女友从
刘青云和太太郭蔼明资料图据台湾媒体《东森新闻》10月12日报道，香港演员刘青云和老婆郭蔼明结婚23年，恩爱感情令众人称羡，2015年以《窃听风云3》夺香港金像奖最佳男主角，上台说：“每当我驾着太空船，飞到宇宙不知