為什么談?wù)擄L(fēng)險(xiǎn)管理?
數(shù)字技術(shù)改變了我們的經(jīng)濟(jì)、社會(huì)和個(gè)人生活,,促進(jìn)了科學(xué)、物流,、金融、通信和一系列其他基本活動(dòng)的改進(jìn)。因此,我們開始依賴數(shù)字技術(shù),,這導(dǎo)致人們對(duì)這些技術(shù)的可靠性抱有很高的期望。
每個(gè)組織都必須就在保護(hù)其技術(shù)和服務(wù)上花費(fèi)多少時(shí)間和金錢做出艱難的決定,;風(fēng)險(xiǎn)管理的主要目標(biāo)之一是告知和改進(jìn)這些決策,。縱觀歷史,,人們都不得不應(yīng)對(duì)危險(xiǎn),但直到最近,,他們才能夠以系統(tǒng)地預(yù)測并渴望控制風(fēng)險(xiǎn)的方式來應(yīng)對(duì),。
每個(gè)人的指南
本文針對(duì)一系列不同的受眾,,從非技術(shù)人員到傳達(dá)網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估的人員,再到根據(jù)網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估做出決策的人員,。這是因?yàn)闉榱擞杏?,網(wǎng)絡(luò)風(fēng)險(xiǎn)管理需要讓沒有正式風(fēng)險(xiǎn)知識(shí)的人能夠理解。
風(fēng)險(xiǎn)管理技術(shù)
目前提出了兩種截然不同(但互補(bǔ))的風(fēng)險(xiǎn)評(píng)估技術(shù),。
組件驅(qū)動(dòng)的風(fēng)險(xiǎn)管理側(cè)重于技術(shù)組件及其面臨的威脅和漏洞,。
系統(tǒng)驅(qū)動(dòng)的風(fēng)險(xiǎn)管理采取相反的觀點(diǎn),將系統(tǒng)作為一個(gè)整體進(jìn)行分析,。
需要明確的是,,我們不提供有關(guān)如何應(yīng)用現(xiàn)有技術(shù)的藍(lán)圖和分步說明。但是我們將描述每種技術(shù)背后的一些核心概念,,并提供有關(guān)如何實(shí)際應(yīng)用技術(shù)的更詳細(xì)指導(dǎo)的路標(biāo),。
結(jié)束“勾選框”風(fēng)險(xiǎn)管理
正如我們將在風(fēng)險(xiǎn)基礎(chǔ)部分討論的那樣,僅出于“合規(guī)”目的而進(jìn)行網(wǎng)絡(luò)風(fēng)險(xiǎn)管理可能會(huì)導(dǎo)致以“勾選框”方式管理風(fēng)險(xiǎn),,從而產(chǎn)生意想不到的負(fù)面后果,。這可以防止組織質(zhì)疑他們是否勾選了正確的方框,從而導(dǎo)致對(duì)風(fēng)險(xiǎn)管理的程度過度自信,。
由于這些原因,,本文不是規(guī)定性的;勾選框風(fēng)險(xiǎn)管理可能比根本沒有風(fēng)險(xiǎn)管理更糟糕,。本文中的任何一種技術(shù)都不會(huì)適用于所有情況,。在選擇應(yīng)用于特定網(wǎng)絡(luò)安全問題的風(fēng)險(xiǎn)管理技術(shù)時(shí),僅通過在本文中指出其存在來證明該選擇是合理的,。需要解釋為什么選擇的技術(shù)與問題相關(guān),。
從哪兒開始?
對(duì)于想要一些簡單實(shí)用的建議的人,,關(guān)于風(fēng)險(xiǎn)和網(wǎng)絡(luò)風(fēng)險(xiǎn)的基本原理:掌握基礎(chǔ)知識(shí)將是一個(gè)很好的起點(diǎn),。
進(jìn)行網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估的專業(yè)人員(或監(jiān)督技術(shù)項(xiàng)目的項(xiàng)目經(jīng)理)可能希望從組件和系統(tǒng)驅(qū)動(dòng)的風(fēng)險(xiǎn)管理之間的區(qū)別開始。
負(fù)責(zé)組織網(wǎng)絡(luò)風(fēng)險(xiǎn)管理戰(zhàn)略方法的個(gè)人應(yīng)首先考慮我們關(guān)于安全治理和風(fēng)險(xiǎn)信息多樣性的指導(dǎo),。