[[430383]]

為什么談?wù)擄L(fēng)險管理?

數(shù)字技術(shù)改變了我們的經(jīng)濟、社會和個人生活，促進了科學(xué)、物流、金融、通信和一系列其他基本活動的改進。因此，我們開始依賴數(shù)字技術(shù)，這導(dǎo)致人們對這些技術(shù)的可靠性抱有很高的期望。

每個組織都必須就在保護其技術(shù)和服務(wù)上花費多少時間和金錢做出艱難的決定;風(fēng)險管理的主要目標(biāo)之一是告知和改進這些決策。縱觀歷史，人們都不得不應(yīng)對危險，但直到最近，他們才能夠以系統(tǒng)地預(yù)測并渴望控制風(fēng)險的方式來應(yīng)對。

每個人的指南

本文針對一系列不同的受眾，從非技術(shù)人員到傳達網(wǎng)絡(luò)風(fēng)險評估的人員，再到根據(jù)網(wǎng)絡(luò)風(fēng)險評估做出決策的人員。這是因為為了有用，網(wǎng)絡(luò)風(fēng)險管理需要讓沒有正式風(fēng)險知識的人能夠理解。

風(fēng)險管理技術(shù)

目前提出了兩種截然不同(但互補)的風(fēng)險評估技術(shù)。

• 組件驅(qū)動的風(fēng)險管理側(cè)重于技術(shù)組件及其面臨的威脅和漏洞。
• 系統(tǒng)驅(qū)動的風(fēng)險管理采取相反的觀點，將系統(tǒng)作為一個整體進行分析。

需要明確的是，我們不提供有關(guān)如何應(yīng)用現(xiàn)有技術(shù)的藍圖和分步說明。但是我們將描述每種技術(shù)背后的一些核心概念，并提供有關(guān)如何實際應(yīng)用技術(shù)的更詳細指導(dǎo)的路標(biāo)。

結(jié)束“勾選框”風(fēng)險管理

正如我們將在風(fēng)險基礎(chǔ)部分討論的那樣，僅出于“合規(guī)”目的而進行網(wǎng)絡(luò)風(fēng)險管理可能會導(dǎo)致以“勾選框”方式管理風(fēng)險，從而產(chǎn)生意想不到的負面后果。這可以防止組織質(zhì)疑他們是否勾選了正確的方框，從而導(dǎo)致對風(fēng)險管理的程度過度自信。

由于這些原因，本文不是規(guī)定性的;勾選框風(fēng)險管理可能比根本沒有風(fēng)險管理更糟糕。本文中的任何一種技術(shù)都不會適用于所有情況。在選擇應(yīng)用于特定網(wǎng)絡(luò)安全問題的風(fēng)險管理技術(shù)時，僅通過在本文中指出其存在來證明該選擇是合理的。需要解釋為什么選擇的技術(shù)與問題相關(guān)。

從哪兒開始?

• 對于想要一些簡單實用的建議的人，關(guān)于風(fēng)險和網(wǎng)絡(luò)風(fēng)險的基本原理：掌握基礎(chǔ)知識將是一個很好的起點。
• 進行網(wǎng)絡(luò)風(fēng)險評估的專業(yè)人員(或監(jiān)督技術(shù)項目的項目經(jīng)理)可能希望從組件和系統(tǒng)驅(qū)動的風(fēng)險管理之間的區(qū)別開始。
• 負責(zé)組織網(wǎng)絡(luò)風(fēng)險管理戰(zhàn)略方法的個人應(yīng)首先考慮我們關(guān)于安全治理和風(fēng)險信息多樣性的指導(dǎo)。

本文轉(zhuǎn)載自微信公眾號「祺印說信安」，作者何威風(fēng)。轉(zhuǎn)載本文請聯(lián)系祺印說信安公眾號。