TerryGrogan曾经发现自己与许多安全主管处于相同的位置：她的组织正在经历关键的技术转型，同时依靠人手不足的部门来解决大量安全风险。因此，Grogan需要部署新的、更高级的网络监控功能。就在那时，她找到了一个出色的合作伙伴：一家提供三个月免费试用该解决方案的供应商；解决。随后，Grogan表示，通过三个月的试用，他们不仅看到了该产品如何解决他们已知的问题，还发现该产品可以带来一些他们以前没有想到的效率。格罗根对产品印象深刻，于是与供应商签订了长期合作合同。事实上，Grogan最终决定与供应商签约并不仅仅基于解决方案本身的功能。诚然，Grogan需要一个有效的产品，但最终还是供应商愿意与医院合作，将其解决方案整合到医院现有的技术栈中，同时提出最佳的安全策略来格罗根——这些是关键因素。是什么让这个供应商脱颖而出。“我不仅需要供应商，还需要合作伙伴——无一例外！”Grogan说，他现在是PixelHealth的首席信息安全官。然后离开了。但现在安全是如此复杂，同时涉及如此多的事情，在各种架构中重叠，变化如此之快，以至于我们不仅需要供应商，还需要顾问。”CISO总是需要安全供应商为他们提供他们需要的工具需要保护企业安全——一般来说，没有多少企业能够开发出自己的企业安全运营解决方案，但CISO也会有大量的供应商可供选择；鉴于CISO时间和预算有限，工作越来越重要，他们变得越来越谨慎，需要区分他们应该与哪一家厂商合作。不仅仅是CISO需要减少他们使用的安全供应商的数量。但是，Gartner将“安全供应商整合”纳入其企业安全2021年的趋势，并表示“大多数组织将使用供应商整合作为降低成本和增强安全性的一种方式。”CISO最终想要的是确保他们选择的供应商能够提供高质量的解决方案，以及一些可以进一步改进他们的安全团队的附加价值。了解CISO的需求罗切斯特理工大学戈利萨诺学院计算与信息科学技术运营总监ThomasCary认为，CISO对供应商的需求不同，他们会在不同的时间向不同的供应商寻求不同的价值。CISO有时仍然希望供应商简单地提供所需的解决方案，部署它然后走开——但现在这种情况很少见，他说。Cary列出了他对供应商的期望。他需要供应商了解和了解他的组织及其现有的安全工具，以便供应商能够区分组织的优势和劣势；然后供应商提出了一个解决方案，可以缩小安全差距，加强组织的安全态势，并帮助Cary的团队实现他们的目标。“安全供应商需要花时间了解他们的客户，然后做好功课并构建满足组织需求的解决方案，”卡里说，“这是真正从其他供应商中脱颖而出的唯一途径。”卡里还表示，他不想让制造商走得太远。制造商不仅要展示自己的能力，还要诚实面对自己的局限性。他提到了一家邮件过滤平台的供应商，该平台为他的组织提供了多种功能。供应商计划基于其现有工作流程嵌入请求过滤功能，但同时添加额外功能以自动化这些工作流程中的某些功能。但同时，供应商也承认，Cary的团队已经具备了其他供应商的一些能力，因此没有必要让他们做同样的功能。“那个供应商真的把我们的最大利益放在心上，并没有过度营销。所以，我们知道我们可以相信他们的话，最后他们真的帮助我们提高了我们的整体事件响应能力，”Cary谈到供应商时说。表示肯定。其他CISO也表达了类似的期望。营销公司MerrittGroup在2020年发布了《市场以及CISO销售》报告，基本符合Cary和其他CISO对供应商的要求。根据该报告：“最重要的是，面向CISO的营销需要一种定制的、基于问题的策略。在网络安全方面没有‘一刀切’的解决方案，CISO对任何此类保证都持怀疑态度。CISOCISO确实需要能够解决他们独特的痛点，近一半的CISO需要供应商在销售或营销传播之前做好功课。“展示，而不是说话。”报告进一步指出，34%的受访CISO若能了解CISO所面临的困难，并将其展现在CISO面前，则成功机会更大。报告提到，34%的受访者表示“一旦供应商了解CISO的需求，下一步就是展示这种理解——不仅仅是谈论它，而是具体说明解决方案将如何工作。CISO比任何人都更喜欢产品演示其他后续联系。换句话说，供应商需要展示他们如何帮助CISO更有效，更有效地保护企业。另一方面，Gant补充说，供应商还需要展示他们如何能够满足当前的需求作为未来的需求，通过分享来自多个组织的经验。需要得到满足，同时也需要帮助CISO扩展他们的知识。”Gant如此说道。制造商还需要更加灵活、愿意并能够适应、尝试并快速实施企业环境中的变化。新冠疫情体现了这样的需求，但很多日常业务项目也会有这样的需求。Gant提到，有一次，他与另一个CISO合作，其组织正在裁员，因此他们需要他们的安全管理服务提供商快速部署行为监控功能，以确保员工不会访问、复制、删除敏感信息。Gant还提到，供应商需要能够在谈判桌上为CISO提供多种选择。最大化供应商价值AltriaGroupCISOChasHeng有类似的观点：“我们希望我们的安全合作伙伴能够为我们的安全战略和总体方向提供指导和投入，将我们的安全计划与行业同行进行比较，并确保我们的网络安全能力得到适当投资并与安全行业最佳实践接轨。“所以，他需要的厂商不仅能提供产品和解决方案，还能提供咨询服务。”“我需要他们成为战略思想合作伙伴，这是我首先需要帮助的——无论他们是软件供应商，还是提供支持服务。我需要他们带来能够帮助我们改进项目的外部见解。为此，Heng和他的团队会经常与制造商会面，制定月度反思和季度会议，并制定项目方向。Heng本人每个月都会与几乎所有战略供应商会面，讨论他们可以带来哪些新能力。“我们会花时间讨论解决方案的性能。这个时候，我会有一些额外的要求；我也会讨论未来的需求和优先事项，这样他们也可以反馈给我他们可以提供的资源和支持”Heng提到“他们会提出我们可以改进的建议。”IT管理和咨询公司Swingtide的顾问BillSerowka表示，CISO依靠供应商提供建议和指导是明智的选择；因为供应商已经在不同的组织中积累，允许他们发现CISO和他们的团队看不到的盲点。不过，与此同时，Serowka也表示，供应商仍然需要满足CISO最基本的需求：能够在CISO组织现有成果中实施的有效解决方案，提供保证的产品，以及——提高整体组织的安全态势。Vonage的CISOSanjayMacwan建立了一个7点框架，以确保他自己从供应商那里获得了所有七项要求。根据他的框架，Macwan需要供应商能够：他们的产品如何补充现有的解决方案；如何在他的组织中简化他们的解决方案；解决方案——换句话说，集成点是什么以及他自己的工程师和架构师需要做什么才能使解决方案起作用；供应商将为他的团队提供技术支持；智能”（Macwan说：“关于人工智能和机器学习的炒作太多了，我需要亲自看看算法。”）；他们目前使用的运营和技术能力，包括他们的技术将如何发展；制造商将如何与他和他的团队建立战略关系。
