Enterprise-keuzes bij het meten van risico's

Risico kan lastig te meten zijn. Zoals in zoveel dingen in het leven zit de duivel in de details. En als het op cyberbeveiliging aankomt, kan die lastige duivel het verschil zijn tussen een getal dat slechts een vakje aanvinkt op een eisenlijst en een maatstaf die de kern vormt van een volwassen risicobeheerplan.

Verwend met keuze

In zijn meest basale vorm is risico een eenvoudig concept. Je neemt de waarschijnlijkheid dat een gebeurtenis zal plaatsvinden, vermenigvuldigt deze met de impact van het optreden ervan, en daar komt een risicomaatstaf uit. Het probleem is dat we allemaal weten dat het leven over het algemeen lang niet zo eenvoudig is.

Om te beginnen zijn er complicaties, zoals hoe wijdverspreid een gebeurtenis zou kunnen zijn: is dit alleen mogelijk op een handvol speciale apparaten of op elk eindpunt dat eigendom is van de organisatie? Dan kom je te weten welke verschillende soorten gevolgen een gebeurtenis kan hebben, hoe gemakkelijk de gevolgen kunnen worden verholpen, enzovoort, en voor je het weet lijken de vergelijkingen meer op kwantummechanica dan op wiskunde van het derde leerjaar.

Dan komt de vraag hoe je de risicokwantiteit uitdrukt; is het een schaal van 1 op 100? In dollars? In kleuren, zoals in de originele ranglijst van DHS-dreigingsniveaus? In de relatieve “coole” factor van verschillende amfibieën? Het kan een moeilijke keuze zijn.

En daarin ligt een belangrijk probleem: niet dat er geen manier is om risico's te kwantificeren en uit te drukken, maar dat er zoveel manieren zijn om het probleem aan te pakken. Het is niet zo dat een bepaald systeem noodzakelijkerwijs slecht is (hoewel de schaal van amfibieën een beetje glibberig kan zijn), maar dat het moeilijk is om van de ene schaal naar de andere te gaan en de relatieve risicoposities van organisaties binnen een geografische of branchegroep te vergelijken. De moeilijkheid maakt het belangrijker dan het anders zou zijn om voorzichtig te zijn het kiezen van een risicokwantificeringsmethode.

Het juiste gereedschap kiezen

Er zijn, in zeer brede zin, drie soorten instrumenten die worden gebruikt om risico's te kwantificeren. Er zijn raamwerken of methodieken die gebruikt kunnen worden om maatwerkprocessen te bouwen of als basis voor commerciële producten. Er zijn instrumenten die risico's als hun primaire functie kwantificeren, hoewel ze wellicht ook input kunnen leveren voor andere instrumenten. En er zijn producten of diensten die risico's kwantificeren als onderdeel van een grotere functionaliteit.

Sommige organisaties zullen merken dat hun keuze voor een risicokwantificeringsinstrument wordt gemaakt door hun keuze voor een ander instrument of een andere dienst. Als het grotere product of dienst, of het nu gaat om risicobeheer of cyberverzekering, risicokwantificering omvat, kan het erg moeilijk zijn om de betaling voor een ander systeem – in veel gevallen een redundant systeem – te rechtvaardigen voor het uitvoeren van dezelfde analyse.

Andere organisaties zullen merken dat hun keuze voor een risicokwantificeringsinstrument voor hen is gemaakt vanwege zakelijke relaties, bijvoorbeeld contracten met een overheidsinstantie die een bepaalde risicoanalyse vereist als onderdeel van het contractkwalificatieproces.

Voor organisaties die de vrijheid (of de taak) hebben om daadwerkelijk een risicokwantificeringsinstrument te kiezen, is de eerste vraag die gesteld moet worden: waarom het kwantificeren van risico belangrijk is. Het lijkt misschien een vraag met een voor de hand liggend antwoord, maar in de meeste gevallen zal er een primaire behoefte zijn die de beslissing bepaalt. En die primaire behoefte zou ook de keuze voor het gereedschap moeten bepalen. Het kwantificeren van organisatierisico's is niet eenvoudig en ook niet goedkoop. Het is dus belangrijk dat de keuze van het instrument zo volledig mogelijk aansluit bij de behoefte.

Is er een bepaalde manier waarop de organisatie het financiële risico kwantificeert? Zijn er plannen voor toekomstige partnerschappen of verkoopinspanningen die baat zouden hebben bij een bepaalde manier om risico's te meten of uit te drukken? Zit een verandering van verzekeraar in de kaarten? Elk van deze factoren (of alle) kan van invloed zijn op de tool die het beste aansluit bij de behoeften van de organisatie. Het stellen van vragen aan potentiële partners of aanbieders zou mogelijkheden kunnen bieden voor het vinden van een hulpmiddel dat aan de onmiddellijke behoefte zou voldoen en tegelijkertijd de organisatie zou positioneren om ook in toekomstige behoeften te voorzien.

Het kwantificeren van cyberrisico’s is voor een groeiend aantal organisaties een vereiste. Door de juiste aanpak te kiezen bij het kiezen van het instrument om dat risico te kwantificeren, wordt het proces zo waardevol en effectief mogelijk gemaakt.

• Door SEO aangedreven content en PR-distributie. Word vandaag nog versterkt.
• PlatoData.Network Verticale generatieve AI. Versterk jezelf. Toegang hier.
• PlatoAiStream. Web3-intelligentie. Kennis versterkt. Toegang hier.
• PlatoESG. Automotive / EV's, carbon, CleanTech, Energie, Milieu, Zonne, Afvalbeheer. Toegang hier.
• BlockOffsets. Eigendom voor milieucompensatie moderniseren. Toegang hier.
• Bron: https://www.darkreading.com/omdia/enterprise-choices-in-measuring-risk