Företagsval för att mäta risk

Risk kan vara knepigt att mäta. Som i så mycket av livet finns djävulen i detaljerna. Och när det kommer till cybersäkerhet kan den där knepiga djävulen vara skillnaden mellan ett nummer som bara kryssar i en ruta på ett kravblad och ett mått som är kärnan i en mogen riskhanteringsplan.

Bortskämd för val

Risk är kokt ner till sin mest grundläggande form, ett enkelt koncept. Du tar sannolikheten för att en händelse inträffar, multiplicerar den med effekten av dess inträffande, och ett riskmått visas. Problemet är att vi alla vet att livet i allmänhet inte är så enkelt.

Till att börja med finns det komplikationer, som hur utbredd en händelse kan vara - är det bara en möjlighet på en handfull specialenheter eller på varje slutpunkt som ägs av organisationen? Sedan kommer du in på de olika typerna av påverkan en händelse kan ha, hur lätt påverkan kan åtgärdas, och så vidare, och innan du vet ordet av ser ekvationerna mer ut som kvantmekanik än matematik i tredje klass.

Sedan kommer frågan om hur man uttrycker riskkvantiteten; är det en skala från 1 till 100? I dollar? I färger, som i den ursprungliga DHS Threat Level-rankingen? I den relativa "coola" faktorn för olika amfibier? Det kan vara ett svårt val.

Och däri ligger ett nyckelproblem: inte att det inte finns något sätt att kvantifiera och uttrycka risk, utan att det finns så många sätt att attackera problemet. Det är inte så att något system nödvändigtvis är dåligt (även om amfibieskalan kan vara lite hal) utan att det är svårt att kartlägga från en skala till en annan och jämföra relativa riskställningar för organisationer över en geografi eller branschgrupp. Svårigheten gör det viktigare än vad det annars kan vara att ta hand om välja en riskkvantifieringsmetod.

Att välja rätt verktyg

Det finns, i en mycket vid mening, tre typer av verktyg som används för att kvantifiera risk. Det finns ramverk eller metoder som kan användas för att bygga skräddarsydda processer eller som bas för kommersiella produkter. Det finns verktyg som kvantifierar risk som sin primära funktion, även om de mycket väl kan ge input till andra verktyg. Och det finns produkter eller tjänster som kvantifierar risk som en del av en större funktionalitet.

Vissa organisationer kommer att upptäcka att deras val av riskkvantifieringsverktyg görs genom att de väljer ett annat verktyg eller tjänst. Om den större produkten eller tjänsten, oavsett om det är riskhantering eller cyberförsäkring, omfattar riskkvantifiering, då kan det vara mycket svårt att motivera att man betalar för ett annat system – i många fall ett redundant system – för att utföra samma analys.

Andra organisationer kommer att upptäcka att deras val av riskkvantifieringsverktyg görs för dem på grund av affärsrelationer, till exempel kontrakt med en statlig enhet som kräver en särskild riskanalys som en del av kontraktskvalificeringsprocessen.

För de organisationer som har friheten (eller sysslan) att faktiskt välja ett riskkvantifieringsverktyg är den första frågan som ställs varför det är viktigt att kvantifiera risker. Det kan verka som en fråga med ett uppenbart svar, men i de flesta fall kommer det att finnas ett primärt behov som driver beslutet. Och det primära behovet bör också driva verktygsvalet. Att kvantifiera organisatoriska risker är varken enkelt eller billigt, så det är viktigt att verktygsvalet passar behovet så fullt som möjligt.

Finns det ett särskilt sätt på vilket organisationen kvantifierar ekonomisk risk? Finns det planer på framtida partnerskap eller försäljningsinsatser som skulle dra nytta av ett särskilt sätt att antingen mäta eller uttrycka risk? Finns byte av försäkringsleverantör i korten? Alla – eller alla – av dessa kan ha en inverkan på det verktyg som bäst passar organisationens behov. Att ställa frågor till potentiella partners eller leverantörer kan öppna upp möjligheter att hitta ett verktyg som skulle möta det omedelbara behovet samtidigt som organisationen positioneras för att möta framtida behov.

Att kvantifiera cyberrisk är ett krav för ett växande antal organisationer. Att ta rätt tillvägagångssätt för att välja verktyg för att kvantifiera den risken kommer att gå långt för att göra processen så värdefull och effektiv som möjligt.

• SEO-drivet innehåll och PR-distribution. Bli förstärkt idag.
• PlatoData.Network Vertical Generative Ai. Styrka dig själv. Tillgång här.
• PlatoAiStream. Web3 Intelligence. Kunskap förstärkt. Tillgång här.
• Platoesg. Fordon / elbilar, Kol, CleanTech, Energi, Miljö, Sol, Avfallshantering. Tillgång här.
• BlockOffsets. Modernisera miljökompensation ägande. Tillgång här.
• Källa: https://www.darkreading.com/omdia/enterprise-choices-in-measuring-risk