问：我们公司的管理层终于允许安全部门购置DLP产品了。我们已经得到了来自几个供应商的投标，但其中最适合我们系统的产品却比我这个首席信息安全官（CISO）之前给管理层的估价要高一些。在试图说服他们去购买更高价位的产品方面，您有什么建议吗？

　　答：在这种关于数据丢失防护（data loss prevention，DLP）工具的谈判上，我会采用以下几种方法。

　　首先，为了履行我对经理做出的“不出现意外”的承诺，我会向他们说明当前的情况，如收到的投标是多少、与先前估价的比较，以及投标比以前设想的要高的原因。认真研究所选DLP系统的所有权总成本（total cost of ownership，TCO），并将其与其他产品进行比较。尽管最初提出来的价格可能掩盖了一些事实，但在DLP实际的长期运行中，其成本可能会比其他产品要低。在您和管理层开会商讨更高的IT安全预算估价前，要确保您已经做过这项准备工作了。

　　其次，我会向首选的DLP工具供应商解释为什么想买他们的产品，向他们表明他们的产品可以为我的公司带来最大的利益；但是，您仍面临着高价格的挑战，您希望通过谈判获得一个较低的价格，或者其他附加服务，如免费培训、额外的支持时间、更长的许可期限等。在某些情况下，这并不会解决原始价格和估价之间存在的矛盾，但您可以用它来向管理层证明首选DLP供应商的额外价值。如果贵公司关注的是现金流，您还可以和DLP供应商洽谈，了解他们是否可以延期付款。

　　然后，为了避免在以后也出现这样的问题，您在招标过程的早期就一定要收集资料，比如像Gartner的Magic Quadran所作的评估，以及其他机构对DLP产品的评估。因为在处理自己所面临的问题时，这些来自第三方的评论可能非常有用。

　　最后，在帮助管理层了解高价产品的成本收益时，不要忘了包括一些信息，如DLP系统可以帮助公司减少哪些成本（如罚款，或数据破坏通知过程所需的一般费用）。隐私及信息管理调查机构Ponemon Institute对数据破坏费用的研究显示，平均一次破坏的成本约为204美元。这些统计资料都表明，首选的DLP确实可以增加公司的收益。

　　请记住，管理层也需要向更高级别的管理人员汇报。因此，您需要为他们提供足够有效的证据，帮助他们解释为什么公司需要选择高价位的DLP系统。