如何为您自己的组织量化数据泄露的实际成本

2024-10-31

对于企业管理者来讲，需要了解组织面临的最大风险是什么。在当今的商业环境中，所有组织都面临着众多颠覆性挑战，这些挑战可能会创造重大的新商机，但也会增加组织的潜在网络安全风险。为了解决这些问题，我们需要将我们的稀缺资源集中在那些将对我们的业务产生最大破坏性影响的业务风险上。

组织的安全环境需要风险量化，作为风险管理的全面战略的一部分，以适应不断变化的威胁环境。这一因素是2021年年度《数据泄露成本报告》将安全风险量化作为一个重要议题进行介绍和讨论的原因。

数据泄露成本报告让你对数据泄露的潜在商业影响有一个高层次的认识。通过回顾2020年在全球范围内收集到的数百个数据泄露事件的趋势，你可以得到你所在行业和地理位置的数据泄露所面临的成本范围的情况。使用风险量化的客户可以确定他们自己的具体风险情况，包括年度概率，这可能高于或低于数据泄露成本的数据。

安全风险量化报告的重点

该报告研究了17个国家和地区以及17个不同行业的537起真实入侵事件。在2020年的报告中，第三方软件的漏洞被列为最常见的四个初始攻击因素之一。

在调查中，第三方软件漏洞给公司造成的平均成本为433万美元，占入侵事件的14%。这些网络攻击包括供应链和物联网(IoT)。

按照同样的思路，兼并和收购有很高的云安全考虑。假设你的企业吸收的一家公司遇到了未向你披露的数据泄露事件。当公众得知这一消息时，你的企业可能会出现以下代价高昂的后果：

譬如工作流程的中断、商业账户的损失、公开交易股票的贬值、纠正损失所需的监管和法律费用等。

事实上，所有费用加起来可能会超过公司合并或收购的全部成本。

公平方法和威胁情报如何帮助数据泄露

您可以通过财务预测和概率来评估数据泄露对公司的潜在影响。该过程将威胁情报与信息风险因子分析(FAIR)模型相结合。

使用FAIR从财务角度量化组织的安全风险，该方法提供了网络风险变量的审查，如违反事件的频率，漏洞和安全强度。通过使用这些数据，威胁情报领域的安全专家可以评估威胁参与者的能力以及他们攻击你的企业的可能性。通过对这些关键变量的统计分析，你可以确定当前控制或流程中的漏洞，这些漏洞将使你的组织面临更大的财务损失风险。

例如，报告指出了一个金融服务机构寻求解决敏感数据泄露的真实参与。金融业的平均水平和从以前的客户业务中获得的经验是进行统计分析的输入。这些活动发现了以下假设。