乍看之下，里氏7.8级地震似乎与网络攻击那些隐秘的0和1分属完全不同的世界。自然灾害发生时，人们几乎立刻就能察觉，但黑客潜入公司IT系统，或员工遗失存有敏感信息的笔记本电脑，往往要过数周甚至数月才会被发现。（Ponemon Institute发布的2015年《数据泄露成本研究》最新数据显示：黑客造成的安全漏洞平均需256天才能被发现；识别人为失误则需158天。）
然而，既然所有风险在某种程度上都相互关联，那么对它们的管理、缓解和最佳实践大概也会有一些相似之处。找出这些共性，对网络风险管理尤其有用。网络风险管理是一个相对较新的领域，可供借鉴的历史经验十分有限。
“风险管理领域正开始通过跨学科借鉴经验而不断拓展，”苏黎世保险集团（Zurich Insurance Group，简称“Zurich”）全球企业业务首席风险官John Scott表示。“如今科技无处不在，它实际上渗透到整个组织的每个环节，因此风险也是如此。你不能把网络风险孤立地看待。将网络风险与其他风险领域并行考量，你能学到很多东西。”
有形性视角
在一篇探讨网络安全运营风险分类法的论文中，卡内基梅隆大学软件工程研究所的James Cebula和Lisa Young将其划分为四类：人员行为；系统与技术故障；内部流程失效；以及外部事件。每一类又进一步细分为若干子类，例如外部事件包括火灾或自然灾害、监管合规、供应商失效、能源供应等。这些未必是人们考虑网络风险时首先想到的内容。
苏黎世保险集团首席风险工程师Amar Rahman负责开展自然灾害现场评估，他发现，这种认知差距可能是帮助客户做好防护与准备的一大关键障碍。
“在进行现场评估时，如果现场管理人员从未亲身经历过自然灾害事件，那么他们对风险的感知就会相当低，”Rahman说。“网络风险大概也是如此：如果早上一切运转正常，你就会觉得这只是照常营业的又一天。两种情况下，都需要思考风险的有形性。以现场评估为例，重点通常在于火灾风险，因为一方面，火灾荷载与诱因，另一方面，相关防护系统，都是看得见、摸得着的。而对于自然灾害和网络风险，关键在于将后果具象化。暴风雨可能对你的经营能力造成实际损害；如果无法在合理时间内向客户提供所需服务，甚至可能导致客户流失。如果你从运营受影响以及由此造成的客户流失这一角度思考网络风险，就能更直观地认识到它们有多严重。”
基本原理
保护数据及其他敏感信息是网络风险管理的重要方面，在这一点上，我们可以从一些看似已成遥远历史的风险中汲取经验。一家全球数据公司的首席风险官（CRO）指出：“回想一下，当我们担心如何保护载有敏感信息的纸质文件时，信息的记录形式在物理层面已经改变，但围绕数字数据及其访问权限保护的风险管理前提，依然是相通的。”
他表示，因此，将网络数据风险置于这一背景下审视会很有帮助。过去值得锁进保险柜的文件，如今应当加密；过去需要在适当人员查阅后粉碎的文件，如今则可以通过数字方式彻底擦除。
“企业评估风险的方式，即理解其下游影响，同样适用于网络风险，”该首席风险官表示。“网络风险领域的成熟速度比其他风险管理学科更快，但它与许多其他风险之间的关联性依然非常相似。”
网络风险管理所针对的是一个不断变化的目标，这给企业带来了严峻挑战，这些挑战不应被简单化看待。但在考量网络风险时，你无需完全从头发明轮子。Scott表示，风险管理的基本原则在于确定优先级。确定优先级的前提，是你要清楚自身的风险偏好。
“当你确定优先级时，你在思考：‘我愿意承受何种程度的风险？’”Scott说。“你可能会遇到影响很小的问题——那种每天都会出现、却不会扰乱组织运转的小故障。它甚至可能具有一定影响并持续发生。根据你的风险偏好，这种偏好可能体现为对六西格玛等质量管理方法的追求，你或许会希望控制这种低影响、高发生概率的事件，但也可能不会。同样，你对较高影响的风险可能有所偏好，也可能没有。无论如何，总有背景因素需要考量，也需要进行成本效益分析。”
在为网络风险确定优先级时，另一个与其他风险相通的共同点便显现出来：网络风险因公司而异。任何掌握消费者敏感信息的企业，都是试图窃取银行账户的黑客的诱人目标。你理所当然会认为，此类企业的风险偏好较低，应主动应对，但也存在风险偏好近乎为零的例子。例如，承接涉及国家安全项目的国防承包商，“可能会采取极为激进的方式管理网络风险”，Scott表示。“比如，你可能会采用IT行业所称的‘空气隔离’，即将存有高价值数据的计算机隔离起来，使其仅彼此相连，而与包括互联网在内的其他任何系统断开，并置于物理安全的建筑之内。根据组织类型以及风险和威胁类型的不同，可以采取不同的方法。那些用于识别和缓解其他风险的系统是如何建立的，或许最能教会你如何为网络风险做同样的事。”
本文与 Zurich Knowledge Hub合作发表。发表并不意味着世界经济论坛认可文中观点。
想要紧跟 Agenda 的最新内容， 请订阅我们的每周通讯。
作者：John Scott是苏黎世保险集团首席风险官。Amar Rahman是苏黎世保险集团首席风险工程师。
图片：插图显示二进制代码投射在一名手持笔记本电脑的男子身上。REUTERS
