展示安全投入的投資回報率(ROI)往往很困難。通常，人們引用數(shù)據(jù)泄露的成本來證明在技術(shù)、人員或服務(wù)上的支出合理性，然而，這并不總能為預(yù)算提供最好的商業(yè)理由，CISM和CIPP/E認證專家Andy Collins指出。

在日益嚴峻且多樣化的網(wǎng)絡(luò)安全威脅面前，確保每一分錢的安全預(yù)算都得到有效利用至關(guān)重要。比如，SonicWall發(fā)布的《2024年年中網(wǎng)絡(luò)威脅報告》顯示，僅在去年，惡意軟件攻擊達到了55億次，勒索軟件攻擊為4.933億次，入侵嘗試高達6.3萬億次，而根據(jù)Sophos的數(shù)據(jù)，勒索軟件的贖金要求創(chuàng)下新高，平均贖金已上升至200萬美元，其中30%的贖金要求超過500萬美元。

雖然明確且強有力的安全措施顯示出企業(yè)對客戶和供應(yīng)商的承諾，但如何合理分配安全預(yù)算以獲得最佳投資回報并不簡單。為安全支出帶來的好處賦予一個明確的貨幣價值并不容易，且因為資金通常作為預(yù)防措施進行分配，精準衡量其成就充滿挑戰(zhàn)。

事實上，問題的一部分在于企業(yè)往往聚焦于安全支出的負面結(jié)果。例如，很多公司會通過計算數(shù)據(jù)泄露的成本來證明在技術(shù)、人員或服務(wù)上的支出是合理的。盡管這種做法在一定程度上可以理解，但專注于“我們需要花多少錢來防止問題發(fā)生”并不總是有助于構(gòu)建有效的安全投資商業(yè)理由。

有效的安全投資

相反，企業(yè)應(yīng)當關(guān)注如何通過有效的投資展示出以業(yè)務(wù)為導向的正面回報。例如，展示最佳實踐是否能夠提供客戶所期望的保障和信心?這一點是否在他們的采購清單中名列前茅?

在某些行業(yè)中，安全是核心決策標準之一，特別是在合規(guī)和監(jiān)管起著重要作用的領(lǐng)域，可能還需要通過外部審計，或者供應(yīng)鏈/投標采購流程可能依賴于明顯強大的安全策略。

在這些情況下，展示安全投資回報率不僅僅是為了在問題發(fā)生時減輕損失和破壞，更重要的是，它提高了標準，表現(xiàn)得比競爭對手更出色——這可以帶來更為顯著的財務(wù)回報。

毫無疑問，采用最佳網(wǎng)絡(luò)安全實踐的企業(yè)也能更好地保護關(guān)鍵資產(chǎn)，如知識產(chǎn)權(quán)，同時，這還能降低對日常業(yè)務(wù)活動的干擾風險，保護關(guān)鍵信息數(shù)據(jù)。

風險與回報

雖然最佳實踐的效果可能難以量化，但通常它們與業(yè)務(wù)戰(zhàn)略、監(jiān)管或合規(guī)要求保持一致。通過投資，這也向合作伙伴和客戶傳遞了一個明確的信號：公司對提供有效的網(wǎng)絡(luò)安全有著深刻且長期的承諾。

某些特定行業(yè)的網(wǎng)絡(luò)安全法規(guī)要求無論在哪個領(lǐng)域都要確保數(shù)據(jù)隱私，而其他法規(guī)則專注于特定行業(yè)垂直領(lǐng)域，如《薩班斯-奧克斯利法案》(SOX)、《國際武器貿(mào)易條例》(ITAR)和《健康保險可攜性和責任法案》(HIPAA)。一個關(guān)鍵挑戰(zhàn)在于，監(jiān)管框架往往存在解釋空間，這意味著企業(yè)需要摸索如何合規(guī)。

同樣，盡管像PCI-DSS這樣的合規(guī)標準推動了重要安全實踐的采用，例如持續(xù)滲透測試、釣魚演習、采用SIEM(安全信息和事件管理系統(tǒng))和網(wǎng)絡(luò)彈性，但一些人仍將其視為一項巨大的投資。

接受外部審計的企業(yè)通常需要對審計結(jié)果、結(jié)論和建議作出反應(yīng)。在大多數(shù)情況下，審計反映的是監(jiān)管要求或企業(yè)集團的需求。審計中發(fā)現(xiàn)的差距可能需要額外的預(yù)算或重新分配預(yù)算，對于那些未規(guī)劃此類支出的企業(yè)來說，這將帶來壓力。

履行義務(wù)

當合同義務(wù)要求達到某些安全目標或標準，或者這些目標或標準是采購流程的一部分時，企業(yè)會根據(jù)其風險偏好設(shè)計相應(yīng)的方案。

然而，履行合同義務(wù)是安全能夠展示切實ROI的一個情境。無論是維持現(xiàn)有的服務(wù)協(xié)議、持續(xù)向客戶提供履行義務(wù)的保證，還是更具體的事項，如簡化新客戶的入職流程，強大的安全策略對業(yè)務(wù)的影響都可能是巨大的。

專注于這些優(yōu)先事項可以顯著幫助企業(yè)展示其績效和承諾，并為ROI做出貢獻。雖然確定和監(jiān)控典型安全預(yù)算的投資回報確實充滿挑戰(zhàn)，但這是構(gòu)建有效戰(zhàn)略的重要部分，該戰(zhàn)略能夠以現(xiàn)有的投資提供盡可能強的保護。