从身份管理到信息和访问管理 随着企业开始侧重于保护数据安全，安全专家需要认识到这不只是管理身份的问题，并且访问控制和信息管理也是数据安全的关键因素。对用户帐号、访问权限和特权的适当的控制和管理是确保数据不被窃取出企业大门的最有效方法之一。

　　从无效事件规划到健全的事故响应 制定全面且行之有效的数据泄漏响应计划会帮助企业大大降低数据泄漏事故的影响度。并且随着威胁复杂度和针对性增加，以及频率越来越大，这迟早都会成为需要处理的安全事故。安全专家需要为此做好准备。

　　为改善能见度、指标和决策建立分析能力

　　很多首席信息安全官承认，从大量数据流中寻找相关信息就像大海捞针一样。首席信息安全官需要确指标和报告能力重点侧重于决策的三个层次：操作、风险和以业务为中心，并且每个层次需要不同类型的数据来完成他们的工作，一旦安全专家开始衡量他们自己的环境，最好参照行业基准进行比较：

　　利用相关信息告知业主，以作出正确决策 避免像很多其他企业一样不使用任何类型的正式风险管理原则来客观地鉴别、分析和评估风险，这将帮助降低任何错误评估或者夸大风险。请记住，列举业务的风险是首席信息安全官的工作，但是最终是决策者来决定可接受的风险水平。

　　使用业务和财务数据来显示安全的价值 值得注意的是，C级执行人员和董事会成员很可能并不关心安全团队的运营指标，他们更关注企业的整体风险态势。事实上，很多企业认识到一些安全投资并没有真正的投资回报，所以他们试图寻找成熟度模型和风险标准来理解成本投资如何改变风险态势。

　　通过验证和相关性来加强操作和衡量 部署安全技术并不是困难的部分，确保持续连贯运作要困难得多。有一家公司将其大部分警报和事件发送到其SIEM工具，但仍然受到了攻击，原因在于SIEM的某条规则被错误配置。该工具甚至没有察觉黑客的攻击活动。很多首席信息安全官抱怨他们需要处理和筛选相当庞大的数据，并且他们依赖于SIEM工具的相关性功能。但是，如果你不测试和验证这些控制，即使是世界上最好的安全技术，也是无法抵挡黑客的攻击。