这对首席信息安全官 (CISO) 来说是一个挑战。安全团队可能了解漏洞的技术严重性、威胁行为者的复杂程度或可能的攻击路径，但董事会和高管团队需要了解的是：这对业务意味着什么？
它会中断关键运营吗？它会泄露敏感数据吗？它会延迟收入吗？它会引发监管审查吗？它会损害客户信任吗？它会影响组织提供关键服务的能力吗？
以业务术语评估网络风险意味着将技术风险转化为业务影响。这有助于领导者在投资、优先级排序和韧性方面做出更好的决策。它还有助于 CISO 将讨论的重点从抽象的风险评分转移到组织试图保护的实际结果上。
以业务术语评估网络风险的实用框架
网络风险评估应涵盖以下五个方面：
- 关键业务资产： 哪些系统、数据、流程、服务和第三方对组织至关重要？
- 威胁暴露： 根据组织的行业、地理位置、运营模式和威胁形势，哪些网络威胁与这些资产最为相关？
- 可能性： 考虑到当前的漏洞、控制措施、攻击者活动和安全成熟度，威胁对组织造成影响的可能性有多大？
- 商业影响： 如果威胁成为现实，将会在财务、运营、监管和声誉方面造成哪些后果？
- 决策优先级： 基于风险等级、可用资源和业务目标，组织应该首先采取哪些措施？
该框架为首席信息安全官 (CISO) 提供了一种结构化的方式来解释网络风险，而无需将其简化为技术术语。它还支持更务实的决策——漏洞并非仅仅因为其严重性评级高就自动成为董事会层面的问题；只有当它影响到对业务至关重要的方面时，它才会成为董事会层面的问题。
从业务出发，而非从威胁
许多网络风险评估都从技术输入入手：漏洞、警报、控制漏洞、事件报告或审计结果。这些固然重要，但它们并非开展业务对话的最佳起点。
更好的起点是思考以下问题：组织必须保护哪些内容才能运营、发展并保持信任？
对于银行而言，这可能包括支付系统、客户账户、交易平台、身份系统和监管报告流程。对于制造商而言，这可能包括生产线、工业控制系统、供应链平台和知识产权。而对于医疗机构而言，则可能包括患者记录、临床系统、联网医疗设备和预约系统。
关键在于：同样的网络安全事件，根据其影响范围的不同，可能造成截然不同的业务后果——针对隔离测试环境的勒索软件攻击与影响生产系统、面向客户的服务或运营技术的勒索软件攻击截然不同；员工账户已泄露与拥有敏感数据或关键基础设施访问已泄露的管理员账户被盗用也大相径庭。
正因如此，资产上下文才显得尤为重要。首席信息安全官 (CISO) 不仅需要了解哪些资产存在漏洞，还需要了解这些漏洞资产支持哪些功能。
将技术风险转化为业务影响
网络安全团队通常使用 CVE 编号、攻击向量、入侵指标、配置错误和检测覆盖范围来描述风险。这些细节固然重要，但它们未必能回答高管们最关心的问题：那又怎样？
要从业务角度评估网络风险，需要将技术风险转化为企业已经理解的类别。例如：
- 运营影响：这是否会中断核心服务、生产、物流、客户支持或内部运营？
- 财务影响：这是否会导致收入损失、恢复成本、赎金要求、法律费用、客户赔偿或保险费上涨？
- 监管影响：是否会引发强制报告、处罚、审计或法律诉讼？
- 声誉影响：是否会损害客户信心、合作伙伴信任、市场认知或投资者信心？
- 战略影响：它是否会延误转型项目、并购、市场扩张或数字化举措？
这种解读无需完美即可发挥作用。在许多情况下，方向性估计足以支持明智的优先级排序。其目的并非制造一种虚假的数学确定性，而是让领导层更清晰地了解网络安全决策的后果。
评估可能性时，应基于威胁背景，而非猜测
可能性通常是网络风险讨论中最薄弱的环节。人们很容易凭直觉将可能性描述为低、中或高。但企业风险决策需要比直觉更坚实的基础。
可信的评估应考虑以下几个方面：
相关的威胁行为者活动
网络犯罪团伙、与国家有关联的行为体或黑客行动主义者是否正在积极攻击该组织的行业、地区或技术栈？
已知漏洞
互联网系统、终端、云环境、身份基础设施或运营技术中是否存在可被利用的漏洞？
控制有效性
安全控制措施是否按预期运行？是否已针对实际攻击技术进行测试？
检测和响应成熟度如何？
组织能否及早发现安全漏洞并做出响应，防止技术事件演变成业务危机？
第三方依赖性
供应商、软件提供商、托管服务提供商或合作伙伴是否会给关键运营带来风险？
威胁情报在此尤为重要，因为它能提供关于新兴威胁和已观察到的攻击者活动的更多背景信息，包括哪些行业正成为攻击目标、攻击者正在使用哪些策略以及哪些指标可能预示着早期攻击活动。威胁情报的价值取决于其数据源的质量、广度和相关性，因此，强大的全球可视性和可靠的情报收集对于提供及时、有用的背景信息至关重要。
对于首席信息安全官 (CISO) 而言，这为风险对话奠定了更坚实的基础。信息传递的重点从“这是一个严重的漏洞”转变为“这个漏洞很重要，因为它可被利用，与我们的环境相关，并且与活动的威胁活动有关”。
尽可能量化，必要时进行定性
商业领导者通常希望以财务术语来表达网络风险，这很合理：网络安全与其他业务优先事项争夺预算，因此 CISO 需要一种方法来解释降低风险的价值。
尽可能使用成本范围来量化网络风险。这些可能包括：
- 每小时或每天的预计停机成本
- 服务中断造成的潜在收入损失
- 恢复和补救成本
- 法律、监管或通知成本
- 潜在的客户赔偿或合同罚款
- 生产力损失成本
- 对保险费的潜在影响
- 业务计划延迟的成本。
然而，并非所有风险都能被精确量化。某些影响，例如声誉损害、利益相关者信任丧失或战略延误，可能需要定性描述。
良好的业务风险评估会同时采用这两种方法。它既避免了泛泛的恐慌，也避免了将所有后果都简化为一个数字的假设。
以下是一个实用的格式：
如果此风险成为现实，可能对业务造成的影响是[关键流程]中断，影响[业务部门、客户群体或市场]，潜在后果包括[财务、监管、运营或声誉影响]。
这清晰地划分了技术问题和业务结果。
根据业务后果对风险进行优先级排序
企业安全团队不可能一次性解决所有问题。问题不在于每个风险是否重要，而在于哪些风险最为重要。
优先级排序应基于业务后果、可利用性和暴露程度。对于价值较低、孤立资产而言，技术上严重的漏洞可能不如影响关键业务系统且活动的中等程度漏洞那样紧迫。同样，身份和访问管理中的控制缺陷可能比局部终端问题带来更大的企业风险。
首席信息安全官 (CISO) 应考虑以下四个优先级排序问题：
- 该资产支持哪些业务功能？
- 它对潜在攻击者的暴露程度如何？
- 现有控制措施的有效性如何？
- 如果系统出现故障、被加密、被篡改或被攻击者访问，会发生什么？
这有助于安全团队从基于数量的优先级排序转向基于后果的优先级排序。其目的并非增加工作量，而是将补救、监控和响应工作集中在能够降低最重要风险的地方。
将网络风险与韧性联系起来
除了支持预防之外，从业务角度评估网络风险也应支持韧性。
当组织无法足够快速地检测、遏制和恢复网络事件时，该事件就会演变成业务危机。因此，检测、响应、遏制和恢复是业务风险等式的一部分。能够快速检测、有效遏制并以最小干扰恢复的威胁，与那些隐藏数周或蔓延至关键系统的威胁相比，其业务风险级别截然不同。
正因如此，事件准备工作才显得至关重要。首席信息安全官 (CISO) 必须评估组织在事件发生前是否能够回答以下实际问题：
- 谁在网络危机期间做出决策？
- 哪些系统必须首先恢复？
- 组织能够以多快的速度隔离受影响的资产？
- 必须保留哪些证据以供调查？
- 可能需要通知哪些监管机构、客户或合作伙伴？
- 组织将如何进行内部和外部沟通？
- 如果内部团队人手不足，可以获得哪些专家支持？
这些问题将网络风险评估转化为实际运营准备。它们还有助于董事会理解，韧性并非理论概念，而是组织在压力下保持正常运转的能力。
运用情景模拟使网络风险具象化
以商业语言沟通网络风险最有效的方法之一是运用情景模拟。
情景模拟可以将技术风险转化为商业故事。例如：
情景： 勒索软件影响区域物流运营支持系统
商业影响：订单履行延迟，客户服务量增加，可能产生合同违约金，收入可能延迟。
风险驱动因素：远程访问暴露、终端覆盖不一致、网络分段有限以及恢复测试不足。
商业决策：投资加强检测和响应能力，改进备份测试，加快网络分段，并与运营负责人一起进行事件模拟。
这种类型的场景比通用风险声明更有用。它有助于高管了解后果链，并鼓励跨职能部门参与，因为影响不再局限于 IT 或安全部门。
好的场景应具体、合理且与业务优先级相关。它们应反映组织的实际运营模式，而不是通用的最坏情况假设。
与董事会建立共同的语言
董事会无需了解网络安全的每一个技术细节，但他们确实需要一种一致的方式来讨论风险、暴露和韧性。首席信息安全官 (CISO) 可以通过一系列以业务为中心的指标来报告网络风险，例如：
- 关键业务服务面临的风险
- 高价值资产的暴露情况
- 检测和应对优先威胁的准备情况
- 针对业务关键风险的补救进展
- 影响关键运营的第三方风险
- 事件响应就绪
- 以及与风险降低相匹配的安全投资。
这将促成更有意义的对话。领导层与其询问组织是否“安全”，不如提出更尖锐的问题：我们最容易受到哪些方面的影响？哪些因素可能影响运营？我们正在采取哪些措施？还存在哪些风险？
最后一点至关重要——网络安全无法消除风险；它可以帮助组织降低、管理和监控风险。商业领导者需要了解剩余风险，以便就投资、容忍度和责任做出明智的决策。
网络安全能力如何支持业务风险评估
以业务为主导的网络风险评估依赖于准确的安全洞察。CISO 需要全面了解资产、威胁、漏洞、控制措施、事件和响应能力。
企业网络安全能力正是在这里发挥着实际作用：
- 威胁情报有助于识别相关的攻击者活动、新兴威胁以及可能影响组织的指标。
- 检测和响应能力有助于缩短从安全漏洞入侵到遏制攻击的时间。
- 安全运营支持持续监控、调查和升级。
- 事故响应服务帮助组织调查、遏制和从严重攻击中恢复。
- 安全意识和培训有助于降低员工队伍中人为风险。
- 安全评估，例如渗透测试、红队演练和应用程序安全评估，能够提供组织环境中漏洞可能被利用的证据，帮助首席信息安全官 (CISO) 验证关于可能性、风险暴露程度和控制措施有效性的假设。
- 入侵评估有助于识别过去或正在进行的、可能未被发现的入侵证据。它们能够更清晰地展现组织的实际风险暴露程度，从而实现更早的补救措施并降低业务风险。
这些能力共同作用，将网络风险评估从静态的报告工作转变为活动的管理流程。其价值不仅在于识别风险，更在于赋予组织应对风险所需的洞察力和专业知识。
成熟的网络风险评估的特征
成熟的业务网络风险评估方法具有以下几个特征。
- 它从业务关键资产和流程入手
- 利用威胁情报评估相关的攻击者活动
- 并根据暴露程度、可利用性和控制有效性来评估可能性
- 它将影响转化为运营、财务、监管和声誉方面的考量
- 它根据业务后果优先考虑补救措施
- 它通过情景模拟和演练来检验响应准备情况
- 它让高管清晰地了解哪些风险已被接受，哪些风险已被降低，以及还存在哪些剩余风险。
这种方法有助于首席信息安全官 (CISO) 成为更强大的业务合作伙伴。它还有助于领导层更清楚地了解网络安全投资旨在保护的内容，从而做出更明智的决策。
关键要点
以业务术语评估网络风险意味着将网络安全决策与业务成果联系起来。仅仅知道存在哪些漏洞、哪些警报正在触发或缺少哪些控制措施是不够的。CISO 需要展示这些问题如何影响运营、收入、合规性、信任和战略进展。
最有效的网络风险评估不会让高管被技术细节所淹没。它们让领导者清晰地了解哪些内容重要、为什么重要以及需要做出哪些决策。
对于企业组织而言，清晰度至关重要——它有助于安全团队将资源集中在对业务影响最大的领域，有助于董事会了解他们所承担的风险，并有助于组织构建在网络威胁演变为业务事件时维持运营所需的韧性。
