วัดความเสี่ยง คำนวณ ROI

ผู้ปฏิบัติงานด้านความปลอดภัยต้องค้นหาวิธีการบรรลุเป้าหมายด้านความปลอดภัยด้วยงบประมาณที่พวกเขามี พวกเขายังต้องแสดงให้เห็นว่าโปรแกรมรักษาความปลอดภัยมีประสิทธิภาพในการปกป้ององค์กรของตน พวกเขาจำเป็นต้องสามารถพิสูจน์ผลิตภัณฑ์และเครื่องมือรักษาความปลอดภัยทางไซเบอร์ที่พวกเขาซื้อและระบุผลตอบแทนจากการลงทุน (ROI) ได้อย่างชัดเจน

ขณะนี้มีเครื่องมือสำหรับสิ่งนั้น SecurityScorecard เปิดตัวเนื้อหาและเครื่องคำนวณ ROI เพื่อช่วยให้ผู้ปฏิบัติงานด้านความปลอดภัยคำนวณการประมาณการระดับสูงเพื่อแสดงให้เห็นมาตรการรักษาความปลอดภัยโดยรวมขององค์กร

“ในช่วงเวลาแห่งความไม่แน่นอนทางเศรษฐกิจ การเสริมความแข็งแกร่งให้กับมาตรการรักษาความปลอดภัยทางไซเบอร์จะต้องเป็นสิ่งสำคัญอันดับแรก เนื่องจากผู้ไม่ประสงค์ดีจะฉวยโอกาสจากความผันผวน” Cindy Zhou ประธานเจ้าหน้าที่ฝ่ายการตลาดของ SecurityScorecard กล่าว “องค์กรต่างๆ จะต้องสามารถรู้และสื่อสารได้ว่าผลิตภัณฑ์และเครื่องมือรักษาความปลอดภัยทางไซเบอร์ที่พวกเขาซื้อมานั้นให้ ROI ที่ดีหรือไม่”

ทีมรักษาความปลอดภัยควรพิจารณาปัจจัยเสี่ยงที่หลากหลายเมื่อพิจารณาว่าจะซื้ออะไรสำหรับโปรแกรมรักษาความปลอดภัยของตน Zhou กล่าว รายการนี้ประกอบด้วยความปลอดภัยของเครือข่าย, ความสมบูรณ์ของ DNS, จังหวะการแพตช์, ความปลอดภัยของจุดสิ้นสุด, ชื่อเสียง IP, ความปลอดภัยของแอปพลิเคชัน, คะแนนคิวบิต, การพูดคุยของแฮ็กเกอร์, ข้อมูลรั่วไหล, วิศวกรรมสังคม และการรู้จักซัพพลายเชนดิจิทัล

การคำนวณความเสี่ยงเพื่อปรับการใช้จ่าย

การระบุปริมาณความเสี่ยงทางไซเบอร์ในแง่การเงินช่วยให้องค์กรต่างๆ เข้าใจผลกระทบทางการเงินของการโจมตีทางไซเบอร์ และรับข้อมูลเชิงลึก เสี่ยงต่อผู้ขายของพวกเขาและวัดปริมาณการสูญเสียที่คาดหวังที่ลดลงหากปัญหาได้รับการแก้ไข ตัวอย่างเช่น ผลิตภัณฑ์รักษาความปลอดภัยทางไซเบอร์อาจมีราคา 200,000 เหรียญสหรัฐ อย่างไรก็ตาม อาจป้องกันการละเมิดข้อมูลมูลค่า 5 ล้านดอลลาร์ ซึ่งช่วยประหยัดเงินทุนจำนวนมากขององค์กรในระยะยาว

“CISO จะต้องสามารถวัดปริมาณความเสี่ยงทางไซเบอร์ของธุรกิจของตนได้ เพื่อปรับการใช้จ่ายในกลุ่มเทคโนโลยีทางไซเบอร์ของตน” Zhou กล่าว

ปัจจัยสำคัญอีกประการหนึ่งคือความสามารถในการจัดหาประกันภัยความเสี่ยงทางไซเบอร์และเบี้ยประกันภัยที่เกี่ยวข้อง

“บริษัทประกันหลายแห่งใช้ SecurityScorecard เพื่อประเมินว่าบริษัทมีสิทธิ์ได้รับกรมธรรม์หรือไม่” เธอกล่าว “CISO และ CFO จำเป็นต้องแสดงให้เห็นถึงมาตรการรักษาความปลอดภัยของตนเพียงเพื่อที่จะได้รับการพิจารณาสำหรับนโยบาย”

เครื่องคิดเลขแบบโต้ตอบจะขึ้นอยู่กับข้อมูลที่รวบรวมไว้สำหรับ Forrester Consulting ผลกระทบทางเศรษฐกิจโดยรวมของ SecurityScorecard. Forrester Consulting ได้สร้างแบบจำลองทางการเงินโดยใช้สูตร Total Economic Impact

ส่วนหนึ่งของการศึกษาวิจัยนี้ ที่ปรึกษาได้ประเมินผลกระทบของการมี SecurityScorecard ในองค์กร รวมถึงการเพิ่มประสิทธิภาพในการบริหารความเสี่ยง ประสิทธิภาพด้านเทคโนโลยีและการรวมเป็นหนึ่งเดียว และมาตรการรักษาความปลอดภัยที่ดีขึ้น แนวทางนี้ไม่เพียงแต่วัดต้นทุนและการลดต้นทุนภายในองค์กรเท่านั้น แต่ยังชั่งน้ำหนักมูลค่าการเปิดใช้งานของเทคโนโลยีในการเพิ่มประสิทธิภาพของกระบวนการทางธุรกิจโดยรวมอีกด้วย

เครื่องคำนวณ ROI ขยายออก ความสามารถ Cyber ​​Risk Quantification (CRQ) ของ SecurityScorecardซึ่งได้รับการออกแบบมาเพื่อช่วยให้ลูกค้าเข้าใจความเสี่ยงทางไซเบอร์ในแง่การเงิน โดยเป็นส่วนหนึ่งของการวิเคราะห์ความเสี่ยงทางธุรกิจแบบองค์รวม

การรับซื้อเข้าจากผู้บริหาร

ผู้บริหารระดับสูงและคณะกรรมการบริหารให้ความสำคัญกับผลการดำเนินงานทางการเงินขององค์กร ดังนั้น CISO จึงต้องสามารถวัดปริมาณความเสี่ยงทางไซเบอร์ในแง่การเงินได้ John Hellickson เจ้าหน้าที่ CISO ภาคสนามที่ Coalfire กล่าว ด้วยวิธีนี้ CISO ก็สามารถให้เหตุผลและ ให้ความสำคัญกับการลงทุนทางไซเบอร์.

ช่วยให้ทุกฝ่ายมีข้อมูลในการตัดสินใจเกี่ยวกับผลกระทบทางการเงินและผลลัพธ์ทางธุรกิจของการลงทุนดังกล่าว

“การให้เหตุผลและการบัญชีสำหรับบุคลากร กระบวนการ และเทคโนโลยีที่มีอยู่แล้วทำให้มั่นใจได้ว่าการควบคุมบรรเทาผลกระทบในปัจจุบันจะได้รับการพิจารณาในการคำนวณความเสี่ยงโดยรวม” Hellickson กล่าว

จากมุมมองของ Hellickson การตรวจสอบความครอบคลุมของกลยุทธ์ความปลอดภัยทางไซเบอร์ การทราบถึงความสมบูรณ์และระดับความเสี่ยงของการลงทุนในปัจจุบัน และการประเมินว่าการลงทุนในอนาคตจะปรับปรุงความสมบูรณ์ดังกล่าวและจัดการความเสี่ยงได้อย่างมีประสิทธิภาพได้อย่างไร ถือเป็นกุญแจสำคัญในการได้รับความไว้วางใจและการสนับสนุนจากผู้บริหาร

“การมุ่งเน้นไปที่การใช้จ่ายเพื่อประกันว่าจะไม่ถูกละเมิด เพียงแต่ถูกมองข้ามไป เมื่อกลยุทธ์ความกลัว ความไม่แน่นอน และความสงสัย หยุดทำงานเมื่อเกือบหนึ่งทศวรรษที่แล้ว เมื่อการลงทุนด้านความปลอดภัยยังคงเพิ่มขึ้นทุกปี” เขากล่าวเสริม

การสร้างกลยุทธ์โปรแกรมไซเบอร์ที่แสดงให้เห็นถึงผลลัพธ์ทางธุรกิจเชิงบวกนั้นต้องอาศัยความสามารถของ CISO ในการโน้มน้าวผู้บริหารคนอื่นๆ อย่างมาก

หลายปีที่ผ่านมา องค์กรต่างๆ มีการใช้จ่ายเพิ่มขึ้น โดยเฉพาะอย่างยิ่งการใช้จ่ายด้านความปลอดภัยของแอปพลิเคชัน และพวกเขายังคงล้มเหลวในการบรรลุผลครอบคลุมของพอร์ตโฟลิโอแอปพลิเคชันที่พวกเขาต้องการ John Steven, CTO ของ ThreatModeler กล่าว

“เมื่อองค์กรต่างๆ เห็นว่าการใช้จ่ายนี้ไม่ยั่งยืน นับประสาอะไรกับอัตราการเติบโตที่ร้องขอ ผู้บริหารด้านความปลอดภัยจะต้องแสดงให้เห็นว่าพวกเขาไม่เพียงแต่ทำงานให้สำเร็จเท่านั้น แต่ยังทำงานให้สำเร็จมากขึ้นด้วยทรัพยากรที่น้อยกว่า CISO อื่นๆ หรือผู้ที่มาก่อนพวกเขา” เขา พูดว่า

การละเมิดที่เกิดขึ้นทั่วทั้งอุตสาหกรรมมักเกิดขึ้นได้ยากในองค์กรเดียว ดังนั้น “เวลานับตั้งแต่การละเมิด” น่าจะเป็นตัวบ่งชี้กิจกรรมและผลลัพธ์ที่ค่อนข้างง่วงนอน Steven กล่าวเสริม

“การมุ่งเน้นไปที่การเปิดใช้งานการส่งมอบหรือความขัดแย้งของลูกค้าสามารถส่งผลกระทบได้มากขึ้นอย่างมาก” เขากล่าว