预计到2027年，网络犯罪将给全球经济造成近24万亿美元的损失。
网络风险形势不断演变，企业必须持续适应，否则可能面临财务、声誉或法律方面的后果。
网络安全风险导向的方法会衡量并评估风险形势，使领导层能够评估并优先处理当前最紧迫的挑战。
到2027年，网络犯罪可能给全球经济造成近24万亿美元的损失。企业往往首当其冲，因此网络安全已成为现代商业环境中的关键议题。网络威胁日益增多，给组织带来严重的财务、法律和声誉挑战。
现代且有效的网络安全管理不止于管理技术风险，还包括管理业务风险。组织必须认识到，网络安全是一项战略要务，应纳入整体风险管理框架，而这可以在董事会层面落实。
董事会可以设定组织的风险偏好，监督风险管理流程，分配资源，并确保组织做好应对网络威胁的准备。作为其整体风险管理职责的一部分，董事会还可以确保管理层准确、及时地报告风险和事件。
网络安全的风险导向方法
高层管理人员和高级管理层必须认识到，组织可以采用两种主要方法来加强网络安全：成熟度导向和风险导向。
组织普遍采用成熟度导向的方法来提升网络安全态势。这种方法要求采用行业制定的一系列最佳实践或标准，以达到更高的网络安全成熟度。不过，它也有局限性。
这种方法很大程度上依赖主观评估，而评估结果可能受到评估者沟通能力、偏见和经验等因素影响。此外，达到特定成熟度水平并不能保证免受网络威胁，还可能带来虚假的安全感。成熟度导向的方法可能无法充分应对组织独特的风险状况，使其容易遭受定向攻击。这种方法也可能耗费大量资源，挤占其他网络安全活动的资源。
网络安全的风险导向方法灵活且可定制，能够满足组织的具体需求并应对其风险。这种方法强调识别并优先处理最关键的网络安全风险，随后采取控制措施加以缓解。面对不断演变的网络威胁，它还要求持续监测和重新评估，以确保控制措施始终有效且适用。
这种方法之所以有效，是因为它能让组织依据自身独特的风险状况制定网络安全战略，从而专注于最重大的威胁和漏洞。它还通过持续评估和应对风险，推动形成积极主动的网络安全文化，尽量降低网络安全事件的影响。因此，组织可以据实决定如何分配网络安全资源，并根据最关键的资产和漏洞确定网络安全工作的优先次序。
构建量化风险矩阵
组织可以采用定量风险分析和蒙特卡洛模拟（即 FAIR 模型）等风险量化方法，衡量网络风险可能造成的影响，并优先开展风险缓解工作。
将网络风险量化纳入网络安全风险导向方法后，组织可以更好地了解网络安全风险、确定资源优先次序，并对风险管理作出明智决策。这有助于组织更有效、更高效地管理企业风险，最终改善网络安全成效。
量化网络风险可用于实际情境，为网络安全事件可能造成的损失赋予财务价值。这有助于组织管理数字资产，并优先开展风险缓解工作。具体做法包括评估威胁和漏洞，并衡量事件对生产力、法律事务、声誉和恢复工作的财务影响。
量化网络风险有助于企业领导者就网络安全投资作出明智决策，并主动采取措施应对网络威胁。
衡量成效并采取行动
关键风险指标（KRI）反映企业当前的风险水平。与此同时，关键绩效指标（KPI）显示企业的风险水平正朝着风险偏好水平靠近还是远离。将 KRI 与 KPI 联系起来后，网络安全团队可以帮助高管开展建设性讨论，判断哪些风险处于可接受范围，哪些需要立即关注。这有助于董事会及以下各层级作出明智决策并有效解决问题。
风险导向的方法具有互动性，有助于将高管降低风险的决策转化为控制措施的实施，确保组织步调一致，朝共同目标努力。通过协调一致、富有战略性地实施控制措施，企业可以更有效地管理风险，实现预期成果。
要成功实施风险导向的方法，组织应制定全面的路线图，其中包括开展彻底的风险评估，制定与组织目标和风险偏好相符的 KRI 和 KPI，建立稳健的风险管理流程，并持续监测和评估网络安全态势。技术对于自动化和简化风险管理流程、实施安全控制措施，以及实时跟踪 KRI 和 KPI 至关重要。
世界经济论坛如何应对日益严峻的网络安全挑战？
网络安全中心提供一个值得信赖的平台，让领导者齐聚一堂，理解不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中增进理解与信任。
通过推动跨行业协作和洞见分享，该中心帮助合作伙伴增强网络韧性，并应对需要集体行动的挑战。
随着威胁形势演变，组织必须持续重新评估网络安全战略。成熟度导向的方法已无法有效抵御现代网络威胁。风险导向的方法有助于识别风险并确定优先次序，从而打造更高效、更有效的网络安全计划。对员工教育和培训以及有效风险管理的投入，可以建立稳固的安全态势，保护资产、声誉和客户免受网络攻击。
采用风险导向的网络安全模式，带来的益处不止于防止网络攻击。它还能增强韧性和敏捷性；持续评估并适应变化，也能让组织整体运作更加顺畅、更具竞争力。
网络安全是共同责任，需要所有利益相关方协作保护组织。风险导向的方法能够实现更有效、更高效的企业风险管理，并打造更强大、更安全的组织，使其能够应对不断演变的网络风险形势。
广泛采用风险导向的方法，不仅有助于维护组织的声誉、客户关系和利益相关方关系，还将为所有人创造更安全的数字生态系统。
