随着《网络安全法》、《数据安全法》等一系列国家级法律的颁布，信息安全的顶层设计被采用。信息安全无疑已经成为企业主非常重视的企业能力和风险。

如果你是CSO(首席安全官)或CISO(首席信息安全官)，向老板报告每月的信息安全情况是非常重要的。

举报的方式有很多种，向老板提交月度信息安全报告是一种选择。因为老板可能没有足够的时间和你沟通信息安全问题，只能利用自己碎片化的时间进行沟通。

先把信息安全月奖提交给老板，避免被“坑”。

1.太多技术细节。

大部分老板对技术一窍不通，但是负责安全的人在报告中过于注重技术。当讨论内容过于技术性时，可能会让老板失去兴趣。把相关的技术内容放在附录里作为备用资料，通常是个好办法。这样，如果老板需要，也可以随时向他介绍更多的技术细节。

图1:类似的技术内容最好以附录的形式呈现。

2.文字太多。

实验表明，人们对文字材料有一种天然的厌恶，但对图片材料有更多的偏好。老板时间有限。用这么多时间逐字阅读你的报告是不可能的。用图片说明你的意图，老板更容易接受。一张意义明确的简单图片比一篇长文更能引起老板的兴趣。

图2:使用更多的图片来报告概述内容

3.缺乏商业场景。

永远不要谈论超出公司当前业务状况的安全问题。看起来更像是培训学生，而不是向老板汇报。公司主营业务是电子商务，你却跟老板说基建项目面临的安全风险。相信我，老板一定会把你的报告扔进垃圾桶的。

4.夸大风险影响。

通常，负责安全的人会在报告中解释一些关注点、不确定性和疑点，但都过于关注威胁和理论风险。相反，负责安全的人需要关注广泛的、真实的、合理的预期风险。老板们不喜欢夸大威胁，而是希望了解一些企业重大安全事故媒体报道背后的真实情况。

图3:对外部事件的一些响应

5.有误导性的数据。

对于一些非常专业的数据，向老板汇报的时候一定要慎重。比如安全人员给老板看了原始的漏洞扫描结果，显示100台服务器有超过52000个未打补丁的漏洞。这些内容技术性太强，容易被误解，因为这个数字永远不会是零，但老板可能会要求在一定的时间范围内，比如六个月，将数据重置为零。因此，记者需要报道更多有用的数据。

二、向老板提交月度信息安全报告的正确“姿势”

1.报告的开头。

在报告的开头附上公司logo是一个很好的做法，可以引起老板的注意，因为公司logo是老板最熟悉最得意的东西。

2.本期导航。

正文开头一定要有这一期内容的导航，让老板知道你想陈述的主要内容，很容易理解你的意图。

3.当前趋势(每个小趋势都附有建议)。

这是你报告的主要部分，也是你真正想给老板看的内容。所以要格外小心，避免用太多的字，在每个问题后面附上你的建议，把决定权留给老板。

4.附件(技术说明等。).

图4:把技术资料放在最后。

把报告中涉及的技术资料做成附件放在最后，方便老板了解整个报告。如果老板对此不了解或者对这部分感兴趣，可以进一步向老板说明。

三。征求老板对每月信息安全报告的意见。

如果在你向老板提交了月度信息安全报告后，老板只是在第一时间对你进行了沟通和指示，这当然是最好的。但是，如果老板没有时间或者忘记了，你应该主动向老板征求对报告的意见和指示。这便于你及时了解老板的意图，调整每月信息安全报告的内容和格式。