風險是指發生不良事件的可能性及其造成的損失程度。在安全領域，風險包含三個要素：威脅、漏洞和影響。勒索軟體團夥是威脅，未打補丁的伺服器是漏洞，收入損失和停機時間是影響。消除這三者中的任何一項，風險都會消失。修補伺服器，漏洞就會被消除。封鎖勒索軟體集團的基礎設施，威脅就會降低。將關鍵數據離線，影響就會縮小。
風險並非非此即彼，而存在於一個連續譜系中。有些風險是可以接受的。例如，一家小型企業或許可以容忍網站被竄改的風險，但卻無法容忍客戶支付資料遺失的風險。差別在於影響程度。風險評估正是量化這種差異。它會探究可能出現的問題、發生的可能性、以及成本。然後，它會將風險成本與風險緩解成本進行比較。花費 10 萬美元來保護價值 1 萬美元的資產並非良好的風險管理，而花費 1 萬美元來保護價值 100 萬美元的資產則是。雖然計算結果往往不夠精確，但這種方法能夠促使人們進行優先排序。並非所有風險都能完全消除，關鍵在於了解哪些風險最為重要。
風險構成
- 威脅－誰或什麼可能造成傷害
- 弱點－他們可以利用的弱點
- 影響——如果他們成功造成的傷害
- 可能性——事情發生的機率
風險是商業語言。能夠運用風險語言的安全團隊才能獲得預算，而只會談論威脅的團隊則得不到。
Comments (3)
Leave a comment