过去十年，网络风险评估成熟度取得了显著进步. 人们普遍认识到，安全和风险框架为评估风险提供了极好的过程, 但却忽略了如何准确地计算和传达风险. 越来越多地。, 澳门赌场官方下载董事会一直在要求对网络风险进行量化衡量, 类似于组织中其他学科长期以来一直在做的事情(例如.g. 衡量财务影响). 而不是满足于继续提供红绿灯图表风险报告, 首席信息安全官正朝着提供网络事件经济影响报告的方向发展. 此举有助于支持董事会和高管在资本充足率和网络保险购买方面的关键决策.
这种风险实践的成熟在2018年得到了Gartner的认可, 当他们的分析师宣布网络风险量化(CRQ)是综合风险管理的关键组成部分时. 这清楚地表明，网络风险评估的未来将与其他澳门赌场官方下载风险学科一样，对其进行评估和呈现. 支持这项工作的是公平研究所, 公司成立于2014年，目前拥有近6名员工,全球有5000名澳门赌场官方软件, 覆盖了财富100强澳门赌场官方下载的30%. 公平研究所的成立是为了推广事实上的CRQ标准, 公平, 是由Open Group发布的吗.
然而，所有这些巨大的进步主要集中在私营部门. 一个值得注意的例外是美国能源部(DOE) 公开表示 它将使用公平标准对关键基础设施进行CRQ评估, 公共和私人. 其他在公共部门工作的人可以从能源部开创性的例子中得到安慰. 许多公共部门组织在采用CRQ时遇到的一个关键门槛是将网络安全表述为财务风险的概念. 在很多方面, it appears at first blush to be anathema to public sector service; their work is truly service to a broad population. 在这个领域，盈利和亏损是陌生的概念. 在很多情况下, 这种公共部门的工作实际上是为了拯救生命, 毕竟, 我们怎么能用金钱来衡量呢?
事实证明, 在决策分析过程中对人的生命进行核算早已成为社会和政治科学的一种普遍做法. 这个概念被称为“统计寿命的价值”，简称VSL. 它已经被公共部门机构使用了一段时间，这些机构需要帮助以定量的方式评估网络风险:美国交通部, 食品及药物管理局, 环境保护署, 以及各种公共健康计划. 这些价值从每年12.9万美元到9美元不等.每条生命600万. 这些值用于为决策者在分配有限资源时提供更丰富的信息. 它绝不以任何方式贬低生命或任何这些组织的使命. 而不是, 它帮助这些组织准确地评估公共政策，以根据预期结果预算投资. 网络安全也是如此.
一旦组织能够克服不想量化这些价值的惯性, 他们可以很快看到组织风险评估的改进. 对公共部门组织来说，这可能与现有方法形成鲜明对比. 考虑一下在网络风险评估或网络安全战略讨论中，工作产品本质上说“这是高风险，因此我们需要这样做”的区别,而不是“不解决这个缺陷/投资这个新能力将使我们的选民每年遭受500万到1000万美元的经济影响。.“能够表达和捍卫自己的主张，这将成为一场更有说服力和说服力的对话. So, 太, 它是否赋予决策者适当的责任级别，以正式接受与其决策相关的风险.
在使用公平标准进行公共部门CRQ评估时，可以通过考虑网络事件的更广泛的经济影响来考虑这些值. 而不是考虑影响销售的可用性事件, 考虑一个市政服务可用性问题. 美国各州和地方政府越来越多地成为勒索软件的目标, 比如巴尔的摩市, 我们看到了水和其他关键服务的问题. 随着城市的复苏, 由于几个月来该市无法运行会计和计费程序，客户们收到了巨额水费账单. 进一步, 该市一直无法逐步征收税收, 危及其为这些关键基础设施提供资金的能力.
这类事件很容易预见，而且, 结果是, 直接解释经济影响. 如果关键的公共部门服务不可用, 那么他们对所服务的澳门赌场官方下载有什么影响? 澳门赌场官方下载能在没有它的情况下运作吗? 如果停电，商业无法进行，对税收有什么影响? 有多少人会因为公共交通无法使用而无法工作? 这对澳门赌场官方下载中最脆弱的群体有何影响, 在危机期间，他们往往没有什么经济缓冲可以依靠? 计算受影响的人数，估计有多少人将流离失所, 失去住房, 无法购买重要的药物和食物, 等. 考虑CRQ对公共部门的经济和金融影响的正确方式是什么. 保密损失也是如此:泄露当地纳税人的信息会对你所服务的公民产生什么影响? 这会阻碍什么样的经济活动呢, 他们要花多少时间来纠正欺诈事件, 丧失隐私的经济影响是什么?
对于计划使用公平标准的公共部门组织，这些类型的问题以及更多的问题可以作为评估定量网络风险影响情景的基础. 公平提倡使用一种被称为作业成本法(ABC)的会计方法来考虑在受影响者的生活中发生的事件中各方所产生的所有成本. 这将给组织一种感觉(使用代表最小影响的范围), 大多数, 以及最可能的结果)特定服务的优先级在哪里. 当我们考虑到公民对政府提供的基本服务和关键基础设施的依赖程度时, 我们必须努力准确地反映这些服务失败的经济影响，而不仅仅是对营利性行业的影响, 而是对澳门赌场官方下载中服务不足和最需要这些服务的弱势群体. 不提供对人类生活影响的准确评估，充其量只会导致资源分配不当, 在最坏的情况下会造成不必要的生命损失.
作者简介: 杰克·弗伦德博士.D., 中钢协, CRISC, CISM, 是导演, 风险专家的风险科学, 风险与信息系统控制认证(CRISC)认证工作组成员, 《澳门赌场官方下载》的合著者, 2016年入选网络安全佳能, IAPP信息隐私研究员, 以及2018年ISACA的John W. 雷恩哈特四世共同知识体系奖获得者.
