重大安全漏洞持续成为新闻头条，企业被迫将关注重点从威胁迫在眉睫的性质转向计算其潜在财务影响。
企业在网络安全领域投入数十亿美元，但 安全技术支出的平均回报率仅为14%。数据泄露的成本每年都在持续上升。
尽管如此，投资者和股东对漏洞消息的反应并不强烈。
Target的股价在其披露自己遭遇 零售业有史以来规模最大的漏洞之一后下跌了11%。但其股价很快反弹。如今，其股价已回到漏洞发生前的水平。
另一家重大数据泄露事件的受害者家得宝（Home Depot），股价已飙升至历史新高；如果顾客在其门店使用支付卡，该公司现在会免费提供一年的身份保护服务，并附带信用监控。摩根大通（JP Morgan）发生数据泄露的消息几乎没有影响其股价。股东似乎相信，即使是大规模网络安全漏洞，也不会对公司的未来产生长期影响。
网络韧性倡导者长期以来一直表示，企业应假定自己已经遭到黑客入侵，并以此为基础制定策略。还有一种看法认为，顾客对数据被盗的新闻已经“麻木”。这种假设并不正确。
Experian的一项研究——这家国际信用报告集团——表明，有三个因素对品牌声誉的影响最大：糟糕的客户服务、环境灾害和网络安全漏洞。
网络安全漏洞对企业声誉的影响是一种新趋势，显示出客户认知发生了巨大变化。暴露可能敏感的信息会使所有商业机构面临更大的风险。例如，媒体公司需要保护其消息来源，因为披露这些来源可能造成严重后果。
但投资者或许希望进一步审视网络安全漏洞对企业影响的原因还不止这些。毕竟，“每位领导者都是数字化领导者。每家公司都是IT公司。”因此，在我们的数字世界里，每家公司都可能遭遇网络攻击。而这些漏洞的间接成本可能十分巨大，包括与第三方责任、云服务和移动功能实施延迟以及数据丢失相关的成本。
家得宝报告称，预计其将承担最高达6200万美元的成本 ，用于支付近期漏洞事件后的调查和缓解工作。这在一定程度上可由其希望获得的约2700万美元保险赔付抵消。
根据近期数据， 安全漏洞的平均成本最高可达550万美元。年均成本为1156万美元，而 仅过去一年，漏洞造成的成本净增幅就升至26% 。
这些数字是估算值。企业高管和企业IT风险经理一直在尝试不同的工具和方法，以衡量网络安全问题给企业带来的直接成本。但相关数据缺乏，加之资产性质复杂，使得全面衡量网络安全漏洞的成本十分困难。保险、IT、金融服务和咨询行业的企业高管正在研究 若干量化网络威胁的模型，包括风险价值模型。
迄今为止，尚无全面估算说明企业在网络安全上花费了多少，以及获得了什么回报。事实上，美国国土安全部官员证实，许多企业甚至不知道自己已经失窃了内部机密数据和客户数据。
许多情况下，漏洞会反映在股价中；这也意味着各行业在为这些漏洞定价方面仍远未找到万全之策。当前正大力推动从假设性原因转向衡量可观察到的损失，并对数据泄露对无形资产和第三方责任造成的影响进行定价和衡量。
作者：Elena Kvochko是世界经济论坛信息技术行业经理。Rajiv Pant是《纽约时报》首席技术官，也是世界经济论坛全球青年领袖。
图片：一名男子在华沙敲击电脑键盘。路透社/Kacper Pempel