Bedriftsvalg for å måle risiko

Bedriftsvalg for å måle risiko

Tidsstempel: 20. juli 2023 10:00
Enterprise Choices in måling av risiko PlatoBlockchain Data Intelligence. Vertikalt søk. Ai.

Risiko kan være vanskelig å måle. Som i så mye av livet, er djevelen i detaljene. Og når det kommer til cybersikkerhet, kan den vanskelige djevelen være forskjellen mellom et tall som bare krysser av på et kravark og en beregning som er kjernen i en moden risikostyringsplan.

Bortskjemt for valg

Kokt ned til sin mest grunnleggende form, er risiko et enkelt konsept. Du tar sannsynligheten for at en hendelse vil inntreffe, multipliserer den med virkningen av dens forekomst og dukker ut en risikoberegning. Problemet er at vi alle vet at livet generelt sett ikke er på langt nær så enkelt.

Til å begynne med er det komplikasjoner, for eksempel hvor utbredt en hendelse kan være - er det en mulighet bare på en håndfull spesialenheter eller på hvert endepunkt som eies av organisasjonen? Deretter kommer du inn på de ulike typene påvirkninger en hendelse kan ha, hvor lett påvirkningen kan utbedres, og så videre, og før du vet ordet av det ser ligningene mer ut som kvantemekanikk enn tredjeklasses matematikk.

Så kommer spørsmålet om hvordan du uttrykker risikomengden; er det en skala fra 1 til 100? I dollar? I farger, som i den originale DHS trusselnivårangeringen? I den relative "kule" faktoren til forskjellige amfibier? Det kan være et vanskelig valg.

Og der ligger et sentralt problem: Ikke at det ikke er noen måte å kvantifisere og uttrykke risiko på, men at det er så mange måter å angripe problemet på. Det er ikke det at et system nødvendigvis er dårlig (selv om amfibieskalaen kan være litt glatt), men at det er vanskelig å kartlegge fra en skala til en annen og sammenligne relative risikostillinger for organisasjoner på tvers av en geografi eller bransjegruppe. Vanskeligheten gjør det viktigere enn det ellers kan være å ta vare på velge en risikokvantifiseringsmetode.

Velge riktig verktøy

Det er, i en meget vid forstand, tre typer verktøy som brukes for å kvantifisere risiko. Det finnes rammeverk eller metoder som kan brukes til å bygge skreddersydde prosesser eller som grunnlag for kommersielle produkter. Det finnes verktøy som kvantifiserer risiko som sin primære funksjon, selv om de godt kan gi innspill til andre verktøy. Og det er produkter eller tjenester som kvantifiserer risiko som en del av et større funksjonssett.

Noen organisasjoner vil oppleve at deres valg av risikokvantifiseringsverktøy gjøres gjennom deres valg av et annet verktøy eller tjeneste. Hvis det større produktet eller tjenesten, enten det er risikostyring eller nettforsikring, inkluderer risikokvantifisering, så kan det være svært vanskelig å rettferdiggjøre å betale for et annet system - i mange tilfeller et overflødig system - for å utføre den samme analysen.

Andre organisasjoner vil finne at deres valg av risikokvantifiseringsverktøy er gjort for dem på grunn av forretningsforhold, for eksempel kontrakter med en statlig enhet som krever en bestemt risikoanalyse som en del av kontraktskvalifiseringsprosessen.

For de organisasjonene som har friheten (eller oppgaven) til å faktisk velge et risikokvantifiseringsverktøy, er det første spørsmålet som skal stilles hvorfor det er viktig å kvantifisere risiko. Det kan virke som et spørsmål med et åpenbart svar, men i de fleste tilfeller vil det være et primært behov som driver beslutningen. Og det primære behovet bør også drive verktøyvalget. Å kvantifisere organisasjonsrisiko er verken enkelt eller billig, så det er viktig at verktøyvalget passer best mulig til behovet.

Er det en spesiell måte organisasjonen kvantifiserer økonomisk risiko på? Er det planer for fremtidige partnerskap eller salgsinnsats som vil ha nytte av en spesiell måte å enten måle eller uttrykke risiko på? Ligger bytte av forsikringsleverandør i kortene? Noen – eller alle – av disse kan ha en innvirkning på verktøyet som best passer organisasjonens behov. Å stille spørsmål til potensielle partnere eller leverandører kan åpne opp muligheter for å finne et verktøy som dekker det umiddelbare behovet og samtidig posisjonere organisasjonen for å møte fremtidige behov.

Kvantifisering av cyberrisiko er et krav for et økende antall organisasjoner. Å ta den riktige tilnærmingen til å velge verktøyet for å kvantifisere den risikoen vil gå en lang vei mot å gjøre prosessen så verdifull og effektiv som mulig.

Tidstempel:

Mer fra Mørk lesning