我們都知道，惡意軟件和攻擊者肆意橫行讓當(dāng)今環(huán)境變成一個(gè)很危險(xiǎn)的地方。要確定專門攻擊自己的網(wǎng)絡(luò)犯罪并不是易事，而風(fēng)險(xiǎn)評(píng)估解決就可以解決這個(gè)問題。
大多數(shù)安全企業(yè)對(duì)于信息安全的前景都很悲觀。然而，從根本上來看，安全其實(shí)只不過是一個(gè)業(yè)務(wù)功能，明確地說，安全是一種衡量風(fēng)險(xiǎn)和減輕風(fēng)險(xiǎn)的業(yè)務(wù)功能。信息安全背后的主要推動(dòng)力就是對(duì)業(yè)務(wù)風(fēng)險(xiǎn)的管理，而無(wú)論這種風(fēng)險(xiǎn)是否與財(cái)務(wù)相關(guān)，企業(yè)都會(huì)試圖減少內(nèi)部的漏洞來控制對(duì)企業(yè)聲譽(yù)以及客戶的威脅。
對(duì)于衡量和評(píng)估信息安全風(fēng)險(xiǎn)存在很多種不同的方法，但其實(shí)根本的公式是相對(duì)簡(jiǎn)單的，只有為數(shù)不多的幾個(gè)變量。其中最重要的變量是數(shù)據(jù)泄漏對(duì)整個(gè)財(cái)務(wù)的影響，根據(jù)公司規(guī)模、行業(yè)和客戶群的不同，計(jì)算方法也有所不同，在計(jì)算整體影響時(shí)也應(yīng)該考慮其他因素，包括響應(yīng)成本、通知成本、對(duì)聲譽(yù)的破壞以及罰款等。此外，數(shù)據(jù)泄漏的影響必須在實(shí)際概論與泄露的可能性間進(jìn)行權(quán)衡。
最重要的是，了解數(shù)據(jù)泄漏對(duì)你的企業(yè)造成的潛在財(cái)務(wù)損失，因?yàn)橹挥羞@樣，企業(yè)才能評(píng)估風(fēng)險(xiǎn)緩解技術(shù)，并確保企業(yè)的信息投資確實(shí)物有所值。每年花費(fèi)1000美元來保護(hù)價(jià)值500美元的畫是沒有意義的，但是如果你首先不清楚你擁有的畫的價(jià)值，那么也就是這樣的結(jié)果。事實(shí)證明，在信息安全投資方面，這是很常見的現(xiàn)象，因?yàn)樵诳紤]企業(yè)的信息安全問題時(shí)，整體風(fēng)險(xiǎn)、影響和成本之前往往沒有得到合理處理。
各種評(píng)估
對(duì)于風(fēng)險(xiǎn)和成本的問題，信息安全風(fēng)險(xiǎn)評(píng)估解決方案可以很好地解決這個(gè)問題。但是，由于不存在標(biāo)準(zhǔn)，現(xiàn)在有很多不同的方法用于執(zhí)行安全風(fēng)險(xiǎn)評(píng)估，并且人們總是將安全風(fēng)險(xiǎn)或者風(fēng)險(xiǎn)評(píng)估等同于“安全評(píng)估”、“風(fēng)險(xiǎn)評(píng)估”、“滲透測(cè)試”和“漏洞評(píng)估”，而實(shí)際上，它們是不同的。
從較高的水平來看，信息安全風(fēng)險(xiǎn)評(píng)估應(yīng)該對(duì)事件發(fā)生的可能性以及事件發(fā)生造成的損失幅度進(jìn)行分析。風(fēng)險(xiǎn)評(píng)估應(yīng)該估測(cè)業(yè)務(wù)影響、資產(chǎn)評(píng)估和資產(chǎn)危險(xiǎn)程度，并且能夠根據(jù)這些信息作出明智的決定。
另一方面，信息安全評(píng)估、漏洞評(píng)估或者滲透測(cè)試主要是確定和分析相關(guān)攻擊向量和通過對(duì)特定類型的威脅組群或者惡意用戶的描述來確定目標(biāo)環(huán)境內(nèi)的漏洞。
這些評(píng)估得到的信息在安全風(fēng)險(xiǎn)評(píng)估中發(fā)揮著很大的作用，但是實(shí)際上這些評(píng)估方法并不能評(píng)估真正的風(fēng)險(xiǎn)，但它們?cè)谡w風(fēng)險(xiǎn)管理項(xiàng)目中發(fā)揮著關(guān)鍵作用，能夠?yàn)轱L(fēng)險(xiǎn)評(píng)估提供可操作的數(shù)據(jù)。
沒有靈丹妙藥
另一種區(qū)分IT風(fēng)險(xiǎn)評(píng)估和漏洞評(píng)估的方法在于，風(fēng)險(xiǎn)評(píng)估將資產(chǎn)和對(duì)環(huán)境的潛在威脅進(jìn)行了優(yōu)先排序，以幫助決策層作出明智的安全投資。而對(duì)環(huán)境的漏洞評(píng)估或者測(cè)試則是確保對(duì)環(huán)境控制的有效性達(dá)到企業(yè)的要求，這在確定安全投資物有所值方面也發(fā)揮了關(guān)鍵作用。
當(dāng)我們?cè)噲D對(duì)任何安全投資計(jì)算成本/效益時(shí)，“定量風(fēng)險(xiǎn)評(píng)估”似乎是大家都在尋找的零擔(dān)妙有，一般來看，定量因素需要等同于美元或者人民幣等。
雖然這種評(píng)估并不存在，我們還是能夠測(cè)量定性的價(jià)值，其中可以包括“高”、“中等”或者“低”風(fēng)險(xiǎn)或者危險(xiǎn)程度定義，并設(shè)立標(biāo)準(zhǔn)將這些資產(chǎn)分類。然后，根據(jù)這些定性價(jià)值分配資產(chǎn)代表的財(cái)務(wù)意義就能夠在減小控制、技術(shù)或者進(jìn)程的決策方面發(fā)揮作用。只要確定了定量?jī)r(jià)值，你就可以開始衡量成本與效益的投資比例以確保每項(xiàng)新的安全產(chǎn)品、工具或者進(jìn)程控制的投資都是合理的。
兩者綜合考慮，并且實(shí)事求是地評(píng)估，企業(yè)資產(chǎn)和風(fēng)險(xiǎn)的價(jià)值和發(fā)現(xiàn)會(huì)讓高層管理大開眼界。一旦完成風(fēng)險(xiǎn)評(píng)估后，下一步就是進(jìn)行差距分析以確定企業(yè)哪里容易暴露信息或者缺乏足夠的控制。由此，企業(yè)就能制定一個(gè)框架和政策來作為項(xiàng)目的基礎(chǔ)，然后對(duì)項(xiàng)目進(jìn)行審計(jì)、缺陷補(bǔ)救，最終實(shí)現(xiàn)自動(dòng)化。
雖然很容易地就制定了這些步驟，但實(shí)際執(zhí)行卻是很大的調(diào)整。大多數(shù)企業(yè)都沒有富有部署基于風(fēng)險(xiǎn)的信息安全項(xiàng)目經(jīng)驗(yàn)的內(nèi)部人員，因此大多數(shù)企業(yè)都是尋求外部信息安全咨詢公司的協(xié)助。
雖然建筑安全的信息環(huán)境的道路有時(shí)候似乎很崎嶇，但確實(shí)存在這樣的道路，而最佳開始方式就是徹底了解停滯不前帶來的風(fēng)險(xiǎn)。