量化网络风险是一项具有挑战性的问题，世界经济论坛工作组对此展开了研究。经过与多家合作伙伴企业的大量讨论和思想交流，一套应对这一挑战的稳健框架于2015年在达沃斯发布。网络风险量化的风险价值模型旨在将网络安全从技术问题转变为标准企业风险登记册中的一项关键业务风险。这个概念意义重大，应当改变董事会的讨论方式，并推动高级管理层审议相关问题；同时，了解其中的细微之处也十分重要，以便切实有效地加以运用。
概率，而非确定性： 在深入探讨之前，了解风险价值（VAR）的真正含义或许会有所帮助。这一概念源自金融领域，指在特定置信度下、给定时间段内可能蒙受的最大损失。需要注意“置信度”这一说法：在充满不确定性的世界里（随机或意外事件随时可能发生），总有一些罕见事件无法被充分纳入考量或建模。因此，我们接受这类事件发生概率为1%或0.1%的风险，并努力确保在其他所有情景下，风险都低于既定阈值（例如，在其余99%或99.9%的情景中）。正如预期的那样，随着我们追求更高的确定性水平，风险敞口价值会以不成比例的幅度上升。
方向性判断，而非确定结论： 量化的目的在于对风险水平提供方向性判断，而非给出极为精确的衡量结果。鉴于所作假设的性质，以及攻击频率、影响范围和损失规模（包括直接和间接损失）方面缺乏精算数据，试图建立高精度模型未免过于武断。
频率：鉴于威胁不断演变，有观点认为应频繁开展这项工作。然而，考虑到这项工作的方向性特点，以及形成判断并落实建议所需的管理投入，每年开展一次已足够；在特定情况下，也可每六个月开展一次。
应对黑天鹅事件： 任何模型都假设过去发生的事件能够合理地预测未来，并对波动性特征作出具体假设。罕见事件（例如影响极大的零日漏洞利用、意外的系统性风险）可能造成重大影响，而这类事件并不适合纳入量化工作。不过，大多数“已知”风险都可以建模，这有助于拨开迷雾，将注意力转向剩余的“未知之未知”。
量化方法有何帮助？
我们认为，网络风险量化方法有助于围绕各种风险管理方式开展成熟的讨论——从采取缓解措施（加强控制、升级技术），到通过保险转移风险，或切实认识并愿意承担风险敞口。随着相关风险市场日趋成熟，可用于验证的数据池将更加丰富，对控制措施的研究也将不断深入、日益精细。
总之，如果运用得当，风险量化方法可以改变网络风险管理的对话方式。随着各利益相关方持续开展研究与合作，数据质量和模型的精细程度只会随时间推移不断提高，从而带来更有用的成果。
关注论坛：议程， 订阅我们的每周通讯。
作者：Guha Ramasubramanian 担任 Wipro 企业业务发展主管，并是世界经济论坛 网络韧性伙伴关系倡议的成员。
图片：一张插图显示，在办公室里，一名手持笔记本电脑的男子身上投射着二进制代码。路透社/Kacper Pempel。
