CFO要想在加強信息風險管理問題上從公司取得充足的資金是非常困難的。如果作爲CFO的你把這件事跟公司CEO談的話，CEO只會瞟上你一眼，而後聳聳肩、報以善意的微笑。其潛臺詞是：信息風險管理可以搞，但增加這方面的資金投入沒門。
據對美國103家上市公司的CEO對於網絡安全問題展開的調查顯示，在上述受訪公司中，只有不到45%的公司高度重視網絡安全。這些公司的CEO在接受調查時坦言，爲了確保公司業務處於良好的運轉狀態，公司對提高抵禦風險襲擊的軟硬件投入多少都在所不惜。
調查結果進一步顯示，很多受訪公司的CEO想把錢投在改善公司產品以及提高公司與客戶關係上，而對於數據安全保護方面的投資，他們總認爲是小事一樁。
其實，作爲CFO與公司的合規團隊，他們有必要就此問題向公司管理層建言，並能夠得到CEO的大力支持。然而，CFO的建言要言之有物，不能籠統地對數據風險進行簡單的描述，應該站在專業角度拿出令公司董事會信服的證據來。
CFO應按以下8個步驟爲數據風險防控爭取資金支持。
第一，CFO要確定自己試圖保護的、含有所有資產內容或者含有上述內容的公開信息。
這些信息或許是個人識別信息、受保護的醫療信息、支付卡信息，又或者是其他涉及重要業務的專有、敏感信息。這些信息資產不僅包括應用程序，還包括像服務器、備份磁盤、臺式電腦、筆記本電腦以及閃存在內的'含有應用程序在內的媒介。
第二，CFO要對這些資產構成威脅的危險因素進行排查。
這些危險因素通常情況下又細分爲4種，它們分別是：環境因素如洪水、火災等，結構性因素如基礎設施的毀壞或者軟件故障等，故障性因素如粗心用戶造成的損失等以及對抗性因素如黑客與心懷叵測的內部工作人員的破壞活動等。
第三，CFO要確認這些資產所存在的薄弱環節。
例如，沒有數據備份、沒有數據加密、密碼設置級別較低、沒有遠端清除功能、沒有過載保護功能、沒有經過培訓的合格人員、沒有訪問管理設置功能、沒有防火牆、沒有商業應急方案。
第四，CFO必須進一步確定每一個能夠利用的薄弱環節變成危險因素的可能性有多大。
一般來說，CFO應該按照百分比確認這種可能性，而通過百分比，管理層就可以一目瞭然地知道危險因素呈現的程度。
第五，CFO應有憂患意識。
即最嚴重的後果一旦發生，這種負面因素帶給公司的直接影響究竟有多大。CFO可以通過美國國際標準協會網站提供的免費模型來對此進行評估。最嚴重的後果包括：違約受罰、違約被起訴所產生的法律成本以及商譽成本。這些成本通常可以通過量化進行評估。
第六，CFO應該根據風險因素的大小進行風險等級排列。
高風險因素與低風險因素分別位於表格的上下位置，而一般風險因素則居中排列。
第七，CFO應該找到解決方案。
CFO還需要確定爲防止風險發生公司所應擔負的成本到底有多大，而公司爲抵禦風險所支付的成本費用不能超過公司的承受能力。
第八，CFO應制定具體抵禦風險的舉措。
例如，公司一臺沒有加密的筆記本電腦一旦丟失後，公司可能就要承擔美國衛生與公共服務部網站所公佈的20%的醫保違規風險。這個例子爲所有CFO敲響了警鐘，他們應該及早制定抵禦風險來襲的具體舉措。
