谁来为企业的IT事故负责？

编辑：小星

多一份网络防护技能

多一份信息安全保障

互联网时代，IT事故的发生已经屡见不爽了。现今企业的内部一旦发生IT事故，各种问题也就接踵而至：舆论的质疑、客户的追责，甚至诉讼等。那么这些令企业蒙受巨大的损失的责任该由谁负责，相信是大家都非常关心的问题

当然，发生事故的原因有很多，比如因为没有及时的更新应用导致的IT事故，这将使企业的声誉和估值都会受到巨大打击。这类的问题往往是取决于公司的企业文化和政策，不论是什么人，总该有人为此负责。

就如之前发生的Equifax泄露事件，最后的结果就是以三名高管的离职为收尾，包括CIO、CSO和CEO。但并不是每次的IT事故都会被曝光，每天总会因为一些人的有意、无意的行为，致使IT事故的发生，只是可能你不知道而已。

1、IT员工的责任？

当企业的IT人员和企业本身因为IT事故而遭受到公众指责批评时，虽然造成失误的IT人员应该承担一定的责任，但如果一味的把一切都归咎于他的身上，是无法根本的解决问题的。

不管最后的结果是受到谴责还是诉讼，IT员工肯定是要承担起自己的责任，但是更重要的责任的追究还是取决于该员工是在什么情况下造成失误。他是因为听从上级指挥而导致的失误，还是因为凭借经验做出判断而导致失误?这一点非常重要。只有认清事件的根本原因才能从源头解决事情，毕竟可能需要改变的不是员工，而是企业。

IT专业人士往往更善于的是服从，虽然从专业的角度来看他们在一些时候应该说‘不’。但因为一些项目的领导出于预算少或者不重视的原因，他们不得不服从决策。这个时候个人认为IT决策层应该从项目开始的时候就做好内部约定，明确项目的责任归属问题。

这么一看，内部的分工合作机制还是非常重要的，职责明确，员工也会知晓在什么时机该做什么事情，会出现什么问题，该如何尽量的去避免等等。

2、高管的责任？

不管哪家企业，业务和技术都是密不可分的，所以讲将一切与技术相关的事故都归咎到IT人员身上是不现实的。在发生IT事故时，有时CIO也是需要被追究责任的。

作为CIO，首先需要具备关于信息系统规划设计的专业性技能，在了解企业所在行业的商业流程后，做好内部协调工作。如果说察觉到CIO的行为有可能会对企业造成不利时，企业就可以考虑换个CIO了。毕竟如果企业在几个季度内连续出现问题，导致数据泄露、隐私侵犯或合规性的问题等，那么不是他的专业能力不够，就是他有其他不良的意图。

如今的CIO虽然可能不是什么IT专家，但是他们却管理着很多复杂技术。鉴于当前的网络安全的状态，很多企业会招揽CSO或CISO的人才，他们会发现、总结问题后报告给CEO、CIO、COO或法律顾问。他们的职责就是为了加强企业的安防能力。也导致很多人都认为安全漏洞的全部责任都需要由CSO或CISO承担。

但是他们忽略了一点，CISO可能承接了实施权，但是决策权还是在CEO、CIO等决策层。所以说决策层的决策是非常关键，你可以听从CISO或者CSO的建议，但也要有自己正确的考量。毕竟企业付给管理层薪资，如果他没有扮演好自己的角色，做出了错误的决定后，只是让另一个员工失业，那么这种管理层也该换一换了。

以上为个人观点，仅供参考。

欢迎关注小星（ID：DBXSJ01）

往期回顾：无服务器安全风险的12点