搜索

[2546] 2016-01-05_如何计算投资回报率并借此证明网络安全预算有效性

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-16
2016-01-05_如何计算投资回报率并借此证明网络安全预算有效性 如 何 计 算 投 资 回 报 率 并 借 此 证 明 网 络 安 全 预 算 有 效 性 E 安 全   2 0 1 6 - 0 1 - 0 5 只 要 能 够 以 管 理 层 能 够 理 解 的 语 言 与 其 探 讨 预 算 问 题 ， 大 家 就 一 定 可 以 实 现 自 己 的 需 求 。 只 要 能 够 以 管 理 层 能 够 理 解 的 语 言 与 其 探 讨 预 算 问 题 ， 大 家 就 一 定 可 以 实 现 自 己 的 需 求 。 大 约 八 年 之 前 ， B r u c e   S c h n e i e r 曾 经 撰 写 过 一 篇 伟 大 的 文 章 ， 旨 在 探 讨 如 何 在 企 业 内 部 计 算 网 络 安 全 支 出 的 投 资 回 报 率 。 自 那 时 开 始 ， 年 度 网 络 安 全 开 支 与 全 球 网 络 犯 罪 成 本 就 开 始 大 幅 提 升 。 尽 管 各 组 织 机 构 预 计 将 在 2 0 1 6 年 内 将 信 息 安 全 预 算 同 比 提 升 2 4 % ， 但 仍 有 不 少 安 全 管 理 人 士 不 知 道 该 如 何 证 明 自 己 所 管 理 的 资 金 被 切 实 应 用 到 网 络 安 全 事 务 当 中 。 从 传 统 角 度 看 ， 欧 洲 较 美 国 表 现 得 更 为 保 守 ， 而 且 越 来 越 多 的 欧 洲 安 全 管 理 者 被 要 求 削 减 自 身 初 始 网 络 安 全 预 算 — — 具 体 包 括 清 除 部 分 项 目 或 者 以 成 本 更 为 你 说 的 途 径 作 为 替 代 。 企 业 需 要 赚 取 资 金 以 支 付 员 工 薪 酬 （ 其 中 当 然 也 包 括 网 络 安 全 团 队 的 工 资 ） ， 因 此 从 这 个 角 度 来 看 ， 以 财 务 数 字 为 出 发 点 显 然 更 加 明 确 也 更 为 合 理 。 然 而 ， 如 果 大 家 准 备 的 网 络 安 全 预 算 申 请 报 告 中 充 斥 着 大 量 术 语 以 及 管 理 层 所 无 法 理 解 的 表 述 ， 那 么 将 其 原 样 交 上 去 几 乎 不 会 起 到 任 何 正 面 效 果 。 举 例 来 说 ， 我 们 首 先 来 探 讨 中 等 规 模 电 子 商 务 网 站 用 于 保 护 前 端 的 预 算 开 支 。 为 了 简 化 整 个 讨 论 过 程 ， 我 们 在 这 里 不 会 计 算 连 锁 攻 击 的 风 险 ， 例 如 近 来 较 为 常 见 的 由 网 站 安 全 漏 洞 引 发 的 高 级 持 续 威 胁 。 我 们 将 把 基 准 定 在 直 接 财 务 损 失 预 防 效 果 所 带 来 的 投 资 回 报 方 面 ： 如 果 每 支 出 1 0 美 元 能 够 在 年 内 实 现 约 1 0 0 美 元 的 高 风 险 安 全 事 件 ， 那 么 相 信 企 业 管 理 层 肯 定 乐 于 掏 出 这 点 小 钱 。 一 般 来 讲 ， 实 现 这 项 目 标 的 难 题 分 为 两 点 ： 一 是 如 何 证 明 我 们 确 实 需 要 这 1 0 美 元 （ 而 非 7 美 元 或 者 8 美 元 ） ， 其 二 则 是 这 1 0 美 元 是 怎 样 帮 助 企 业 预 防 可 能 出 现 的 1 0 0 美 元 直 接 经 济 损 失 的 。 首 先 ， 我 们 需 要 计 算 所 谓 A L E ， 即 年 度 预 期 损 失 ： 预 期 之 内 的 、 由 特 定 风 险 及 威 胁 （ 如 果 未 受 合 理 控 制 ） 所 造 成 的 经 济 损 失 约 值 。 为 了 给 出 较 为 准 确 的 结 果 ， 我 们 可 以 使 用 一 项 来 自 C I S S P ® - I S S M P ® 官 方 指 南 的 简 化 A L E 计 算 公 式 ：   A L E   =   ( 每 年 事 故 数 量 每 年 事 故 数 量 )   X   ( 每 起 事 故 潜 在 经 济 损 失 每 起 事 故 潜 在 经 济 损 失 ) 在 我 们 的 案 例 当 中 ， 每 年 事 故 数 量 可 以 取 较 为 合 理 的 1 2 起 ， 这 意 味 着 每 个 月 发 生 一 次 通 过 网 络 前 端 实 现 的 严 重 入 侵 行 为 。 我 们 当 然 也 可 以 进 一 步 扩 大 事 故 规 模 ， 不 过 请 别 忘 记 现 在 是 在 向 管 理 层 申 请 预 算 ， 所 以 选 取 太 过 夸 张 的 数 字 肯 定 会 引 发 质 疑 。 接 下 来 的 每 起 事 故 潜 在 经 济 损 失 则 较 为 棘 手 ， 因 为 安 全 损 失 当 中 包 含 着 众 多 因 素 及 子 因 素 。 网 络 威 胁 如 今 已 经 开 始 影 响 到 穆 迪 评 级 （ E 安 全 百 科 ： 穆 迪 评 级 目 的 是 为 投 资 者 提 供 一 个 简 单 的 等 级 系 统 ， 从 而 了 解   有 关 证 券 的 相 对 信 用 质 量 等 级 。
） ， 但 同 时 其 带 来 的 往 往 是 一 种 非 常 主 观 的 影 响 ， 因 为 我 们 几 乎 不 可 能 预 测 某 起 特 定 数 据 泄 露 事 故 会 对 参 评 方 带 来 怎 样 的 具 体 影 响 。 同 样 的 难 题 还 来 自 商 业 声 誉 损 失 、 股 票 价 格 下 滑 以 及 由 数 据 泄 露 引 发 的 其 它 公 共 影 响 损 失 。 因 此 ， 我 们 可 以 尝 试 选 取 所 在 行 业 当 中 由 受 信 来 源 提 供 的 平 均 安 全 事 故 损 失 数 字 。 举 例 来 说 ， 根 据 卡 巴 斯 基 实 验 室 最 近 发 布 的 一 项 调 查 结 果 ， 中 小 型 企 业 遭 遇 每 次 安 全 事 故 所 承 担 的 平 均 损 失 为 3 8 0 0 0 美 元 。 在 某 些 情 况 下 ， 管 理 层 可 能 会 对 这 个 相 对 “ 较 大 ” 的 数 额 提 出 质 疑 ， 因 此 我 们 还 需 要 选 择 更 为 切 实 且 不 可 避 免 的 损 失 产 生 可 能 ， 从 而 将 事 故 成 本 与 当 前 管 理 工 作 结 合 起 来 以 确 保 额 度 的 可 信 性 。 立 足 于 电 子 商 务 网 站 前 端 ， 我 们 可 以 轻 松 列 举 出 以 下 几 项 造 成 损 失 的 因 素 ： 客 户 数 据 库 及 其 它 敏 感 信 息 失 窃 及 泄 露 的 成 本 电 子 商 务 门 户 网 站 在 电 子 取 证 及 恢 复 时 产 生 的 成 本 第 三 方 专 家 进 行 调 查 并 实 施 补 救 带 来 的 成 本 法 律 与 合 规 罚 款 造 成 的 成 本 显 而 易 见 ， 我 们 可 以 轻 松 计 算 出 与 P C I   D S S 合 规 相 关 的 罚 款 成 本 。 举 例 来 说 ， 如 果 大 家 属 于 P C I 二 级 商 家 ， 那 么 由 于 数 据 泄 露 而 导 致 降 为 一 级 所 带 来 的 全 部 相 关 成 本 都 应 被 计 入 经 济 损 失 。 另 外 ， 第 三 方 顾 问 带 来 的 相 关 成 本 同 样 易 于 计 算 ， 一 般 来 讲 其 估 算 调 查 及 处 理 时 长 不 会 短 于 一 周 — — 这 意 味 着 至 少 带 来 1 0 0 0 0 美 元 损 失 。 举 例 来 说 ， T a l k T a l k （ 由 于 自 身 业 务 规 模 与 黑 客 活 动 影 响 ） 的 总 体 经 济 损 失 就 高 达 3 5 0 0 万 英 镑 ， 相 比 之 下 选 择 3 8 0 0 0 美 元 这 一 数 字 确 实 非 常 可 信 。 与 此 同 时 ， 需 要 指 出 的 是 由 英 国 政 府 及 P w C 所 发 布 的 2 0 1 5 年 信 息 安 全 事 故 调 查 报 告 指 出 ， 中 小 型 企 业 由 于 数 据 泄 露 事 故 造 成 的 平 均 损 失 在 7 5 0 0 0 英 镑 到 3 1 万 8 0 0 英 镑 之 间 （ 分 别 折 合 1 1 万 2 千 美 元 与 4 6 万 6 2 0 0 美 元 ） ， 这 一 结 果 明 显 高 于 我 们 的 预 期 。 不 过 让 我 们 继 续 以 前 面 提 到 的 3 8 0 0 0 美 元 为 基 准 ， 并 将 其 代 入 我 们 的 公 式 ： A L E   =   ( 每 年 事 故 数 量 每 年 事 故 数 量 )   X   ( 每 事 故 潜 在 经 济 损 失 每 事 故 潜 在 经 济 损 失 ) A L E   =   1 2   X   3 8 0 0 0 美 元 美 元 A L E   =   4 5 万 万 6 0 0 0 美 元 美 元 这 就 是 一 家 企 业 在 不 采 取 任 何 网 络 前 端 保 护 措 施 情 况 下 需 要 预 计 承 担 的 年 均 经 济 损 失 。 当 然 ， 每 项 新 的 事 故 都 会 提 升 具 体 损 失 额 度 ， 但 这 里 我 们 姑 且 选 择 这 样 的 初 步 计 算 结 果 。 下 一 步 则 在 于 证 明 我 们 所 要 求 预 算 数 字 的 合 理 性 。 最 简 单 的 实 现 办 法 就 是 向 所 在 企 业 管 理 人 员 提 供 一 份 最 具 效 果 及 效 率 的 解 决 方 案 及 产 品 清 单 ， 并 根 据 其 具 体 性 价 比 做 出 谨 慎 选 择 。 为 了 保 护 网 络 前 端 （ 这 里 笔 者 省 略 掉 了 S D L C 以 及 其 它 一 些 与 安 全 开 发 、 维 护 与 合 规 相 关 的 费 用 ） ， 我 们 通 常 需 要 ： W e b 应 用 防 火 墙 — — 尽 管 应 用 防 火 墙 无 法 保 护 我 们 在 高 复 杂 性 攻 击 活 动 中 幸 免 ， 但 其 仍 然 能 够 有 效 应 对 多 种 僵 尸 攻 击 及 其 它 “ 烦 人 ” 的 恶 意 行 为 、 自 动 化 攻 击 乃 至 脚 本 入 侵 。 持 续 漏 洞 扫 描 与 安 全 监 控 解 决 方 案 — — 今 天 的 安 全 区 域 很 可 能 成 为 未 来 的 漏 洞 多 发 地 带 ， 而 且 每 年 一 次 的 渗 透 测 试 根 本 无 法 及 时 发 现 问 题 。 因 此 ， 持 续 安 全 监 控 就 变 得 非 常 重 要 。 定 期 进 行 由 第 三 方 专 家 参 与 的 人 工 或 混 合 型 评 估 工 作 — — 这 方 面 最 典 型 的 例 子 就 是 最 近 由 H i g h - T e c h   B r i d g e 在 Z e n   C a r t 这 一 高 人 气 电 子 商 务 平 台 当 中 发 现 的 严 重 R C E 。 该 漏 洞 仅 存 在 于 最 新 版 本 当 中 ， 而 且 此 前 未 能 由 任 何 自 动 扫 描 工 具 所 发 现 。 实 现 以 上 三 项 工 作 每 年 会 带 来 4 0 0 0 0 美 元 成 本 ， 而 我 们 可 以 借 此 推 导 并 计 算 出 网 络 安 全 预 算 的 投 资 回 报 率 。 我 们 仍 然 选 取 来 自 C I S S P ® - I S S M P ® 官 方 指 南 中 的 投 资 回 报 公 式 ： 投 资 回 报 率   =   ( A L E   /   对 策 成 本 )   X   1 0 0 %
微 信 名 ： 微 信 名 ： E 安 全 安 全 微 信 微 信 I D ： ： E A Q a p p 投 资 回 报 率 =   ( 4 5 万 6 0 0 0 美 元   /   4 0 0 0 0 美 元 )   X   1 0 0 % 投 资 回 报 率 =   1 1 4 0 % 尽 管 如 此 可 观 的 投 资 回 报 率 在 一 定 程 度 上 属 于 立 足 于 技 术 角 度 的 纯 主 观 结 论 ， 但 相 信 其 也 足 以 说 服 大 家 所 在 企 业 的 管 理 人 员 以 积 极 心 态 面 对 问 题 ， 而 不 是 在 遭 遇 到 跨 站 点 脚 本 攻 击 等 威 胁 之 后 才 追 悔 莫 及 。 瑞 士 普 华 永 道 网 络 安 全 专 家 R o b e r t   M e t c a l f 指 出 ： “ 网 络 安 全 的 主 旨 在 于 风 险 管 理 与 损 失 预 防 ， 而 不 仅 仅 是 创 造 营 收 。 因 此 ， 投 入 到 安 全 领 域 的 任 何 资 金 都 必 须 证 明 其 侧 重 于 防 御 哪 些 恶 意 行 为 ， 同 时 论 证 此 类 行 为 对 于 企 业 业 务 意 味 着 什 么 。 最 重 要 的 是 ， 我 们 该 如 何 将 这 些 可 能 被 作 为 攻 击 活 动 目 标 的 关 键 性 资 产 与 强 而 有 力 的 证 据 相 结 合 ， 从 而 证 明 企 业 需 要 对 其 投 入 大 量 资 源 以 保 护 自 身 商 业 信 誉 免 受 威 胁 。 ” 总 而 言 之 ， 只 要 能 够 以 管 理 层 能 够 理 解 的 语 言 与 其 探 讨 预 算 问 题 ， 大 家 就 一 定 可 以 实 现 自 己 的 需 要 。 转 载 请 注 明 来 自   E 安 全   （ w w w . e a s y a q . c o m ） 您 也 可 以 下 载 E 安 全 a p p 获 取 及 时 最 及 时 的 安 全 资 讯 ❶   点 击 往 期 内 容 ， 查 看 更 多 ❷   复 制 网 址 在 浏 览 器 打 开 w w w . e a s y a q . c o m ❸   长 按 右 侧 二 维 码 ， 关 注 E 安 全 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理