识别并优先处理信息安全风险

信息安全风险是指特定威胁利用一个或多个资产的漏洞，从而对组织造成经济损失的可能性。例如，如果你的系统瘫痪，那么由于停机（downtime）你的公司将损失多少钱？特定风险的严重程度取决于你所在组织的具体情况。有关风险评估的更深入介绍，请参阅以下风险 assessment best practices。在这篇文章中，我们将探讨两种为风险设定优先级的方法：一种是定性方法，另一种是定量方法。

由于信息安全风险是财务损失发生的可能性，无论你选择哪种方法，第一步都是思考组织如何盈利、员工和资产如何影响企业的盈利能力，以及哪些风险可能导致公司遭受巨额金钱损失。之后，你应该再考虑如何增强 IT 基础设施，以降低那些可能引发最大财务损失的风险。

以下是你应该重点考虑的一些信息安全主要风险：

• 攻击者可能会篡改电子数据，或窃取并加以滥用 ，或获取对计算机或系统的非法使用。 例如，如果有人成功地使用伪造数据从你的在线商店购买产品，你的公司将会亏钱。因此，你需要实施流程或解决方案来防止欺诈，或者至少降低欺诈风险。
• 法律问题。 许多类型的事件都可能导致代价高昂的法律问题。例如，如果有人入侵你的系统并从你的数据库中窃取数据，即使他们窃取的信息本身并不产生任何成本，你的组织仍可能因为未能提供足够的 数据库安全 而面临法律追责。尤其当你受 HIPAA、PCI-DSS 或其他合规法规的约束时，这一点更为明显。
• 数据被盗或损坏。 如果你的商业秘密被盗，你可能会被竞争对手抢走业务。
• 当系统无法正常执行其主要功能时，你的员工可能无法工作，客户也可能无法从你的网站购买商品。

你需要先识别信息安全风险，然后对其进行优先级排序，以便明智地分配资源来提升 IT 安全性。你可以选择定性或定量的方法：

• 定性 方法根据非数字化的类别或等级来评估风险（例如低、中、 高）。定性方法通常比定量技术更简单、更容易实施，尤其是当你这是第一次 IT 风险评估 时。对于中小型企业而言，这往往是最好的做法。
• 定量 技术涉及根据矩阵为风险发生可能性和货币损失分配数值。定量方法通常比定性方法实施所需的时间和资金更多，但其结果更有助于进行更详细的成本-效益分析。因此，这种方法往往更适合大型组织。

定性风险优先级排序

风险的定性优先级排序从为每个风险确定两件事开始：

• 如果发生该风险事件，你们的公司会损失多少钱
• 该风险事件发生的可能性

请使用类似下面的表格，为这些因素中的每一项分配严重性数值。

然后使用这两个因素的数值来为风险确定优先级。例如，如果系统停机会导致财务损失“非常高（Very High）”，并且停机的发生机会为“高（High）”，那么该风险的优先级为“严重（Severe）”。然而，如果停机会导致损失的金额为“低（Low）”，但停机的发生机会仍为“高（High）”，那么该风险的优先级为“中等（Moderate）”。下面是一个非常简单的风险优先级排序表示例：

定量风险优先级排序

定量评估基于数字来衡量风险，而数值的含义及其相对比例由组织保持。此类评估在支持成本—效益分析方面最为有效。在某些情况下，定量评估的收益可能会被专家投入的时间与精力成本，以及为实施此类评估可能需要部署和使用的工具成本所抵消。

同样地，首先评估风险事件发生的可能性以及一旦发生贵公司将损失多少钱。然后使用类似这样的表格为这些因素分别赋予数值：

将 RL 和 ML 的数值相乘，并使用类似下表的方式来计算每项风险的优先级：

使用你的风险优先级排序结果

在识别并为风险设定优先级之后，你需要制定风险管理计划——并争取获得公司最高管理层的批准，以便为其落地实施争取预算。详细的风险管理计划能够为融资提供商业论据。仅仅说“我们的系统可能会被黑客入侵”是不够的；你需要说明这种风险对业务会造成什么影响——当有人可以入侵你的系统并窃取商业机密或客户数据时，业务层面会出现什么问题？你要用实例来证明风险缓解措施的投资回报率（ROI），例如确保系统保持最新，并安装合适的防病毒软件，或实施入侵防御系统（IDS）或入侵防御系统（IPS）。

无论你选择通过定性还是定量的方法来进行 IT security risk assessment 与优先级排序，你都在为组织的 IT 安全奠定基础。

观看这场录制的 IT risk assessment webinar ，学习建立持续风险评估与缓解流程的最佳实践。