在传统网络安全建设模式中，组织的首席信息安全官（CISO）与 IT 负责人（CIO）通常会主导技术、产品选型与预算申请，首席财务官（CFO）的角色多局限于“合规性审核”与“资金拨付”。但在数字化转型深度推进与网络威胁持续升级的双重背景下，这一传统预算制定格局正在改变。CFO 凭借其在财务分析、风险评估与战略规划上的核心能力，逐渐成为新一轮网络安全技术采购周期与预算分配的核心决策者。
这一转变不仅会重塑企业网络安全建设的投资逻辑，同时也有望推动相关的安全职能部门从之前的成本中心向战略价值创造中心转型。
一、CFO在网络安全中的角色扩张
2025 年，“财政审慎”成为很多企业技术投资的核心关键词，不再单纯以“规模扩张”为目标，而是通过精细化管理，核查每一项技术支出的合理性、利用率及价值贡献。这种转变不仅源于经济环境的不确定性，更反映出了企业对“技术投资要与业务目标对齐”的深层需求，这为 CFO更加深入地介入网络安全投资决策奠定了基础。
研究机构Gartner 最新开展的CFO领导力愿景研究，基于对全球近 5000名财务管理者的深度调研后指出：当前，CFO的关键性任务需要包括 “验证 AI等创新技术应用的投资回报率（ROI）”、“制定完善数据治理策略” 及 “培养数字化转型真实需要的团队技能”等，并明确将CFO定位成现代企业组织中“技术采用与治理的战略合作伙伴”。
Gartner的研究印证了 CFO 在网络安全技术决策中的地位提升，也揭示了“财务与技术协同”已成为组织数字化转型的核心趋势，其核心驱动因素包括：
1、宏观经济环境压力：通胀高企、市场需求波动及企业增长策略趋于保守，迫使企业管理层对每一笔大额支出进行严格管控。网络安全技术采购通常需要较大的资金投入，其 ROI（投资回报率）与业务价值实现正是CFO重点关注的核心指标；
2、安全投资复杂性提升：随着零信任架构、云原生安全、AI 驱动威胁情报等创新技术的不断涌现，新一代网络安全防护体系从 “单一工具部署” 转向 “平台化生态构建”，技术选型的专业性与跨部门协同需求显著增加，需要 CFO 从财务视角平衡“技术先进性”与“成本可控性”；
3、风险与价值的关联需求：网络安全不再是单纯的技术风险防御工作，而是与客户信任、合规成本、业务连续性等生产需求直接挂钩的战略资产。CFO 能够通过财务模型量化安全事件的潜在损失，如数据泄露后的赔偿成本、业务中断损失，并将安全投资与企业长期价值创造关联。
当然，CFO 深度介入网络安全的预算决策，并不能取代 CISO的技术决策权，而是通过财务视角推动“安全投资与企业战略目标深度绑定”，实现 “安全投资与业务目标对齐”。具体目标包括：
1、避免资源浪费：淘汰功能重复、利用率低的安全工具，减少 “为技术而技术” 的无效投入；
2、量化安全价值：通过财务模型将安全成果转化为可衡量的指标，如事件响应时间缩短带来的运营成本节约、合规能力提升减少的监管处罚风险；
3、支撑业务增长：确保安全投资能够服务于企业核心业务，如通过安全客户门户推动数字业务扩张、通过数据保护能力满足新市场的合规要求。
二、重塑安全预算的分配逻辑
随着企业网络安全预算制定从“增量分配”转向“存量优化”与“价值优先”。CFO 与 CISO 的协作模式，不再是 “IT 提需求、财务批预算”，而是通过共同定义 “风险优先级” 与 “价值衡量标准”，重塑预算分配逻辑。
为确保预算分配的合理性，CFO 在预算制定和审批环节中，应围绕以下四个核心要素展开评估，推动安全投资转向“主动价值创造”：
1、功能冗余性审核：不同供应商的安全工具是否存在功能重叠？如同时采购多套终端检测与响应工具；
2、资源整合潜力：能否通过平台化整合，如将端点安全、网络准入控制等纳入统一管理平台，在不降低防护能力的前提下减少供应商数量与运维成本；
3、ROI的可衡量性：当前安全防护体系的投资回报率是否可量化？每年投入的安全预算，实际减少了多少潜在的业务和财产损失；
4、业务成果关联性：某项安全投资将直接支撑哪些业务目标？如部署云安全防护是否可以支持海外业务扩张。
尽管预算制定趋于审慎，但网络安全威胁的快速演变要求企业保持足够的敏捷性。CFO 与 CISO 的一个协作重点，在于通过风险评估模型识别对业务连续性威胁最大的风险点，并将预算向 “防护能力最强、与业务关联最紧密” 的技术倾斜。
从行业实践来看，当前企业网络安全预算的重点投入方向主要包括：
1、零信任安全架构：通过 “永不信任、始终验证” 的访问控制逻辑，解决混合办公模式下的身份安全问题；
2、云原生安全平台：针对云环境的动态性与分布式特点，提供原生的安全防护能力，避免 “云迁移后安全真空”；
3、AI 驱动的主动威胁防护：利用机器学习算法实时分析威胁数据，提升安全事件的检测与响应速度，降低人工运维成本。
三、供应商整合：平衡效率与先进性
当CFO取代CISO主导网络安全预算时，最具争议的环节之一就是如何重新整合网络安全产品供应商。一方面，减少供应商数量能够简化合同管理、降低运维成本，并提升安全体系的协同性；另一方面，过度整合又可能导致企业陷入 “单一供应商锁定”，或为了成本控制牺牲部分的技术性能。当前大量的行业应用实践表明，网络安全领域的供应商整合并非简单的做减法，而是基于“战略评估” 的精细优化。
CFO 在供应商整合中的关键策略，是推动企业采用“模块化、可扩展性强”的安全平台。这类平台的核心优势在于：可按需定制、较好的生态兼容性以及成本可控，既帮助组织降低单模块成本，同时减少多供应商间的协调成本与运维复杂度。
网络安全预算中的“效率”，不仅是“减少支出”，还包括“提升现有资源的价值利用率”。在网络安全领域，CFO 通常倡导以下三类优化举措：
1、许可证审计与清理：通过工具使用数据统计，识别未激活、低利用率的许可证，淘汰冗余工具，每年可降低 5%-10% 的安全工具采购成本；
2、自动化与 AI 赋能：利用自动化脚本替代人工完成重复性工作，通过 AI 技术缩短安全事件响应时间，降低人力成本；
3、云计算应用深化：推动非核心安全功能向云上迁移，利用云服务的按需购买模式降低基础设施投入，同时提升系统可扩展性。
四、真正实现价值对齐
CFO 在网络安全领域决策权的提升，并非意味着 “财务主导一切”，而是标志着企业网络安全进入“跨职能协同”的新阶段，是企业对 “安全价值” 的重新认知与定位
在 CFO 主导的网络安全战略中，“可量化的价值”将是核心衡量标准。模糊的指标与凭直觉的主观决策将被彻底摒弃，每一项网络安全投资都需要通过财务模型证明其价值：
1、ROI 量化：安全成果的财务转化
CFO 会要求安全团队将技术成果转化为可衡量的财务指标，常见的量化维度包括：
风险成本降低：通过漏洞修复，减少数据泄露的潜在损失，如根据行业平均数据，每修复一个高危漏洞可降低约 20 万元的潜在赔偿成本；
运营效率提升：通过自动化工具缩短事件响应时间，减少 IT 团队的人工投入，如每月减少 100 小时的人工运维，按人均成本折算为直接成本节约；
合规成本节约：通过完善的安全体系满足监管要求，避免监管处罚，如 GDPR 最高罚款可达企业全球年营业额的 4%。
2、将安全投资与业务 KPI 深度绑定
为实现“安全支撑业务”的目标，CFO应推动企业构建“安全计划与业务 KPI 挂钩”的框架，将安全投资与核心业务指标直接关联，例如：
客户体验提升：投资安全客户门户，通过多因素认证与数据加密保障客户信息安全，提升客户信任度，进而推动数字业务交易量增长；
市场扩张支持：针对新进入市场的合规要求，部署本地化的数据保护工具，降低市场准入风险；
员工生产力优化：通过零信任身份管理系统，实现员工在任何设备、任何地点的安全访问，减少因权限问题导致的工作中断，提升远程办公效率。
结语
CFO 的角色转变与扩张，不仅带来了财务审慎性与量化思维，更推动网络安全从 “被动防御”转向“主动价值创造”。网络安全不再是单一部门的职责，而是需要财务（价值评估）、安全（技术防御）、业务（需求定义）三方深度协作的公司级优先事项。
参考链接：
https://insurance-edge.net/2025/11/03/cyber-budget-wars-why-cfos-are-now-steering-security-strategy-2/
声明：本文来自安全牛，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
