Выбор предприятия в измерении риска

Риск бывает сложно измерить. Как и в большинстве случаев в жизни, дьявол кроется в деталях. И когда дело доходит до кибербезопасности, этот хитрый дьявол может быть разницей между числом, которое просто ставит галочку в листе требований, и метрикой, которая лежит в основе зрелого плана управления рисками.

Избалованный выбором

Риск, сведенный к его самой базовой форме, представляет собой простую концепцию. Вы берете вероятность того, что событие произойдет, умножаете ее на влияние его возникновения, и вы получаете метрику риска. Проблема в том, что мы все знаем, что жизнь вообще не так проста.

Начнем с того, что есть сложности, например, насколько широко может быть событие — возможно ли это только на нескольких специализированных устройствах или на каждой конечной точке, принадлежащей организации? Затем вы попадаете в различные виды воздействия, которое может иметь событие, насколько легко это воздействие может быть устранено и т. д., и прежде чем вы это узнаете, уравнения больше походят на квантовую механику, чем на математику третьего класса.

Затем возникает вопрос о том, как вы выражаете величину риска; это шкала от 1 до 100? В долларах? В цветах, как в оригинальном рейтинге DHS Threat Level? В относительном «крутом» факторе различных амфибий? Это может быть трудный выбор.

И в этом кроется ключевая проблема: не в том, что нет способа количественно оценить и выразить риск, а в том, что существует так много способов решить проблему. Дело не в том, что какая-то одна система обязательно плоха (хотя шкала земноводных может быть немного скользкой), а в том, что трудно сопоставить одну шкалу с другой и сравнить относительные риски организаций в разных географических или отраслевых группах. Трудность делает более важным, чем это могло бы быть в противном случае, заботу о выбор метода количественной оценки риска.

Выбор правильного инструмента

Есть, в очень широком смысле, три типа инструментов, используемых для количественной оценки риска. Существуют структуры или методологии, которые можно использовать для создания пользовательских процессов или в качестве основы для коммерческих продуктов. Существуют инструменты, которые количественно оценивают риск как свою основную функцию, хотя они вполне могут вносить вклад в другие инструменты. И есть продукты или услуги, которые количественно определяют риск как часть более широкого набора функций.

Некоторые организации обнаружат, что их выбор инструмента количественной оценки риска обусловлен выбором другого инструмента или услуги. Если более крупный продукт или услуга, будь то управление рисками или киберстрахование, включает количественную оценку риска, то может быть очень сложно оправдать оплату другой системы — во многих случаях дублирующей системы — для выполнения того же анализа.

Другие организации обнаружат, что их выбор инструмента количественной оценки риска сделан для них из-за деловых отношений, например, контрактов с государственным органом, который требует конкретного анализа рисков в рамках процесса квалификации контракта.

Для тех организаций, у которых есть свобода (или рутинная работа) по фактическому выбору инструмента количественной оценки риска, первый вопрос, который следует задать: почему важна количественная оценка риска. Это может показаться вопросом с очевидным ответом, но в большинстве случаев решение будет зависеть от основной потребности. И эта основная потребность также должна определять выбор инструмента. Количественная оценка организационного риска не является ни простой, ни недорогой задачей, поэтому важно, чтобы выбранный инструмент максимально соответствовал потребностям.

Существует ли особый способ количественной оценки финансового риска в организации? Есть ли планы будущих партнерских отношений или усилий по продажам, которые выиграют от определенного способа измерения или выражения риска? Есть ли смена страховой компании в картах? Любой или все из них могут повлиять на инструмент, который лучше всего соответствует потребностям организации. Вопросы потенциальным партнерам или поставщикам могут открыть возможности для поиска инструмента, который удовлетворит насущную потребность, а также поможет организации удовлетворить будущие потребности.

Количественная оценка кибер-риска является требованием для растущего числа организаций. Правильный подход к выбору инструмента для количественной оценки этого риска поможет сделать процесс максимально ценным и эффективным.

• SEO-контент и PR-распределение. Получите усиление сегодня.
• PlatoData.Network Вертикальный генеративный ИИ. Расширьте возможности себя. Доступ здесь.
• ПлатонАйСтрим. Интеллект Web3. Расширение знаний. Доступ здесь.
• ПлатонЭСГ. Автомобили / электромобили, Углерод, чистые технологии, Энергия, Окружающая среда, Солнечная, Управление отходами. Доступ здесь.
• Смещения блоков. Модернизация права собственности на экологические компенсации. Доступ здесь.
• Источник: https://www.darkreading.com/omdia/enterprise-choices-in-measuring-risk