网络攻击日益增多，但许多组织尚无足够能力应对这些威胁。
网络风险资产负债表记录可能对组织产生财务影响的网络事件。
一份新的报告概述了组织如何更有效地管理和理解网络风险的经济性。
每天，我们都会读到有关网络犯罪的新闻标题，或听到新的数据泄露报道，所有数据都表明黑客数量正在增长。考虑到数据和联网传感器的指数级增长，并将其与人工智能、自动化、增强现实、可植入医疗设备和自动驾驶汽车的力量相结合，就会立刻清楚地看到，这一问题必须朝着不同的方向发展。
然而，即便网络攻击的频率不断上升，其破坏性也日益复杂，组织仍然难以判断如何最好地做好准备并防范此类攻击。问题在于，组织很难在网络风险与其行动之间取得平衡。网络风险往往被组织低估或误解。
网络投资常被视为与产品研发、员工福利或股东回报投资之间的一种权衡。然而，事实是，所有这些投资都应被整体考虑。为此，世界经济论坛及其合作伙伴与NACD、ISA和普华永道合作，发布了《网络风险董事会治理原则》，以帮助组织更好地管理并理解如何驾驭日益增长的网络风险这一无形账本。该指南的一项核心原则是，董事会必须“理解网络风险的经济驱动因素和影响”。
随着董事会成员对网络风险经济性的理解不断深化，，他们将有能力推动基于风险的决策，并带领组织应对网络事件。据普华永道2022年的一项调查，42.5%的全球组织表示，其在提升董事会对网络事务理解的评估方面已取得显著进展。
网络风险资产负债表如何提供保护？
编制网络风险资产负债表是领导者可以立即采取的一项“关键举措”，有助于改善其网络风险决策。风险思维和企业行为的简单转变，使网络安全卫生与现有企业风险管理体系相协调，从而加深理解、激励明智投资并奖励良好行为。网络风险资产负债表这一关键举措正是通过使网络风险的无形账本变得可见来实现这一点的。
如果您是董事会成员，请鼓励您的网络负责人安排团队编制并量化网络风险资产负债表，以财务术语记录可能对组织产生重大影响的网络事件。编制网络风险资产负债表的关键步骤如下：
根据您组织的风险状况，定义一个网络风险量化框架。该框架可借助信息风险因子分析（FAIR）制定，并结合其他行业指南，如NIST SP 800-53和ISO 27005。FAIR利用情景建模，帮助组织汇总各类风险因素、识别其相关性并量化财务影响。
识别与您组织相关的关键网络威胁，并评估威胁发生的概率、关键资产，以及现有网络控制措施在缓解这些威胁方面的有效性。
汇总一份资产负债表，将范围内网络威胁的发生概率映射为以财务术语表示的网络风险，并关联已规划或现有的网络投资。
世界经济论坛在网络安全领域开展了哪些工作？
网络安全中心为领导者提供了一个可信平台，使其齐聚一堂，共同理解不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中增进理解与信任。
通过促进跨部门合作与洞见共享，该中心帮助合作伙伴增强网络韧性，并应对需要集体应对的挑战。
资产负债表完成后，应定期开展讨论和评审，以网络风险的财务成本作为框架，理解并转化底线所固有的后果。该账本可用于评估当前安全投资的成效，并要求首席信息安全官（CISO）以显示正投资回报率（ROI）的方式，说明其新网络投资的商业论证。例如，某项安全控制措施在未来三年内将耗资250万美元，但它能将网络风险资产负债表上的700万美元网络风险降低。
实施网络风险资产负债表时的关键考量
让团队对结果负责，并以切实降低风险的形式要求资本回报。
鼓励安全负责人主动挑战自我，真正深入了解业务，并通过帮助业务部门降低可能影响其底线的网络灾难风险，与业务部门建立盟友关系。
欢迎对计算结果提出质疑，并认识到这有助于促进业务职能部门的参与，从而协助倡导安全工作。
鼓励安全负责人与首席财务官或企业风险管理（ERM）团队合作，审核并核实风险值，复核汇总的风险条目，并加大对成果的投入。
加强首席信息安全官（CISO）、首席技术官（CTO）和首席信息官（CIO）职能之间的协作，让CTO和CIO团队就每个网络情景所做的可能性和影响分析提供反馈，以进一步迭代估算结果和资产负债表数据。
资产负债表编制完成后，且组织各级领导就数据达成一致，安全团队应继续迭代该资产负债表，纳入更多情景，并对每项网络控制投资进行商业论证评估。该框架将帮助组织更好地利用现有网络投资，并淘汰那些可能已耗费宝贵人才和资本、但已失去价值的陈旧网络能力。
为组织实现面向未来的发展
这一关键举措 因其简单性而在组织内部行之有效，它并非通过制造恐慌，而是通过透明化的方式，促使人们理解现有的网络风险。它为领导者提供了一个框架，使其能够以大家都能理解的语言——商业语言——参与解决方案的制定。据普华永道2022年的一项调查，76.5%的全球组织表示，其在增加获得企业安全管理团队投入的业务决策数量方面，已取得中等至显著的进展。无论组织所处的行业和领域如何，所有企业高管都以其创造的价值为荣，并深知这些价值所面临的威胁。
网络风险资产负债表通过透明度促进信任，并通过使企业利益与保护企业的人员保持一致，加强安全、技术以及创收职能部门之间的伙伴关系。
企业必须应对多种风险，而网络空间的风险每天都在增长。但在物理世界中常见的道理在网络空间同样适用——知识就是力量。董事会对网络风险及其对业务的经济影响了解得越多、理解得越深，就越能有效管理这些风险。
