採購從「事後補救」轉為規劃階段「先嵌入規格」
資安在企業架構中晚一步進場，由來已久：CISO 這個職位也出現得比 CIO 晚。這套順序現在若應對到採購上，的確要付出相當的代價，也就是風險評估被壓縮到流程尾端。
但這個舊順序正在鬆動——許多大型企業在今天，CISO 已經從 IT 獨立出來，預算與報告線都直接對到執行長甚至董事會，位階不再低於 CIO，這個轉變發生的時間點，早於「人工智慧長」（CAIO）這個新職位的出現。企業現在要面對的，是這套權力關係重組之後，AI 採購的決策順序該怎麼重新設計。
採購決策權在誰手上，隨著產業或組織的不同有所差異。下面我們將用幾個例子來說明。
CIO 與 CISO 角色的拉扯
紐約市社區醫療機構 Essen Health Care 的做法相當直接——Hiren Dave 身兼 CIO 與 CISO，2022 年 7 月起負責 IT 預算編列，以及企業科技的採購、部署、監控與維護全流程。他在 2024 年 9 月接受科技媒體 Information Security Media Group 專訪時說明：「雙重職責讓我能全面回應業務需求——評估解決方案的可行性、營運契合度與資安，同時兼顧兩者。」他任內部署了 XDR 系統，並依 SOC 2、HIPAA、HITRUST 三項標準建立政策與控制措施。
微軟前 CIO 暨 CISO Jim DuBois 有不同選擇。他在 2026 年 3 月的 RSAC Conference 受訪時指出，CISO 這個職位本身沒有太大改變，變的是攻擊者能力與風險層級大幅提高；落差在於組織在推動創新的團隊與負責資安的團隊之間，當責該怎麼分配：「如果我們能對齊誘因，協助想要創新的團隊同時對資安與創新負責，他們就會主動尋求資安團隊協助；誘因不對齊，才會演變成衝突。」
企業實務上，「對齊誘因」通常是指把資安達成率、弱點修補速度這類指標，直接納入創新團隊主管的績效考核與獎金計算，讓創新團隊主管跟 CISO 共同承擔資安結果。
DuBois 在微軟任職 24 年，歷任 CIO 與 CISO 兩職，離開後轉任多家科技公司董事。
Information Security Media Group 在 2025 年 12 月的一篇報導，呈現了業界對這個問題的兩派主張。HITRUST 資安風險副總裁 Tom Kellermann 說：「從公司治理角度看，CISO 向 CIO 報告的模式，就像美式足球裡防守協調員要向進攻協調員報告——這代表公司治理出了問題。CISO 必須擁有獨立預算，並有權基於風險暫停新技術部署。」Rose CISO Group 創辦人 Olivia Rose 則指出，CISO 向 CIO 報告會產生利益衝突，因為 CIO 掌管 CISO 的績效考核，可能導致 CISO 在意見分歧時退讓過快；她建議 CISO 直接向 CEO 報告，若不可行則報告給法務部門。
這些治理設計問題不解決，會付出什麼代價？SolarWinds 曾發生一個例子，2020 年 Sunburst 供應鏈攻擊事件後，美國證券交易委員會於 2023 年 10 月控告 SolarWinds 及其資安長 Tim Brown 證券詐欺，指控雙方誇大資安措施、未充分揭露已知風險。法官於 2024 年 7 月駁回多數指控，SEC 於 2025 年 11 月 20 日與雙方聯合聲請撤銷剩餘訴訟，且是「不得再訴」的撤銷。這是史上第一次 SEC 對資安長個人提出證券詐欺指控的案件；最終雙方和解收場，但這起案件已讓資安長這個職位，第一次直接暴露在證券監理的個人法律風險之下。
[ 加入 CIO Taiwan 官方 LINE、Facebook 與 LinkedIn，與全球 CIO 同步獲取精華見解 ]
核心問題在於，CIO 有沒有權力否決 CISO 的專業判斷？The Hacker News 在 2025 年 9 月刊登的一篇投書，記錄了一個真實案例。一位資安長原本已推動負責任地導入多個 GenAI 應用，新任 CIO 上任後認為應用太雜亂，指示資安長全面禁止 GenAI，直到選出一個全企業單一平台。一年後，平台仍未上線，員工已開始使用未經核准的工具，組織暴露在「地下 AI」（Shadow AI）風險中。這位資安長被卡在「執行一個做不到的禁令」的處境裡，承受外部批評，卻沒有權力提出可行的解方。
選錯供應商，同樣是 CISO 要獨自承擔的代價。StockX （美國球鞋與潮流商品線上交易平台）前資安長 Paul Guerra 在 CISO Series 旗下 Podcast 《Defense in Depth》 2026 年 5 月的一集節目裡指出，CISO 如果連自己要解決的問題都沒辦法用一句話、不靠流行術語講清楚，採購時就容易被供應商的行銷話術牽著走，等於還沒準備好進入採購程序。他也提到，某家領先的應用程式安全供應商在沒有任何功能增加、用量沒變的情況下，年增 35% 漲價——這正是逼企業考慮撤換供應商最常見的理由之一，而撤換供應商平均讓資安計畫倒退 12 到 18 個月，代價往往比忍受漲價更高，這也是為什麼許多企業明知被坑，還是選擇繼續續約。
Essen 的身兼二職、DuBois 的誘因對齊、Kellermann 與 Rose 的獨立預算主張，三種做法看似不同，但都說明同一件事：決策權放在哪裡，AI 採購的速度與風險承擔方式就跟著改變。
