我們都知道，惡意軟件和攻擊者肆意橫行讓當今環(huán)境變成一個很危險的地方。要確定專門攻擊自己的網(wǎng)絡犯罪并不是易事，而風險評估解決就可以解決這個問題。
大多數(shù)安全企業(yè)對于信息安全的前景都很悲觀。然而，從根本上來看，安全其實只不過是一個業(yè)務功能，明確地說，安全是一種衡量風險和減輕風險的業(yè)務功能。信息安全背后的主要推動力就是對業(yè)務風險的管理，而無論這種風險是否與財務相關，企業(yè)都會試圖減少內部的漏洞來控制對企業(yè)聲譽以及客戶的威脅。
對于衡量和評估信息安全風險存在很多種不同的方法，但其實根本的公式是相對簡單的，只有為數(shù)不多的幾個變量。其中最重要的變量是數(shù)據(jù)泄漏對整個財務的影響，根據(jù)公司規(guī)模、行業(yè)和客戶群的不同，計算方法也有所不同，在計算整體影響時也應該考慮其他因素，包括響應成本、通知成本、對聲譽的破壞以及罰款等。此外，數(shù)據(jù)泄漏的影響必須在實際概論與泄露的可能性間進行權衡。
最重要的是，了解數(shù)據(jù)泄漏對你的企業(yè)造成的潛在財務損失，因為只有這樣，企業(yè)才能評估風險緩解技術，并確保企業(yè)的信息投資確實物有所值。每年花費1000美元來保護價值500美元的畫是沒有意義的，但是如果你首先不清楚你擁有的畫的價值，那么也就是這樣的結果。事實證明，在信息安全投資方面，這是很常見的現(xiàn)象，因為在考慮企業(yè)的信息安全問題時，整體風險、影響和成本之前往往沒有得到合理處理。
各種評估
對于風險和成本的問題，信息安全風險評估解決方案可以很好地解決這個問題。但是，由于不存在標準，現(xiàn)在有很多不同的方法用于執(zhí)行安全風險評估，并且人們總是將安全風險或者風險評估等同于“安全評估”、“風險評估”、“滲透測試”和“漏洞評估”，而實際上，它們是不同的。
從較高的水平來看，信息安全風險評估應該對事件發(fā)生的可能性以及事件發(fā)生造成的損失幅度進行分析。風險評估應該估測業(yè)務影響、資產(chǎn)評估和資產(chǎn)危險程度，并且能夠根據(jù)這些信息作出明智的決定。
另一方面，信息安全評估、漏洞評估或者滲透測試主要是確定和分析相關攻擊向量和通過對特定類型的威脅組群或者惡意用戶的描述來確定目標環(huán)境內的漏洞。
這些評估得到的信息在安全風險評估中發(fā)揮著很大的作用，但是實際上這些評估方法并不能評估真正的風險，但它們在整體風險管理項目中發(fā)揮著關鍵作用，能夠為風險評估提供可操作的數(shù)據(jù)。
沒有靈丹妙藥
另一種區(qū)分IT風險評估和漏洞評估的方法在于，風險評估將資產(chǎn)和對環(huán)境的潛在威脅進行了優(yōu)先排序，以幫助決策層作出明智的安全投資。而對環(huán)境的漏洞評估或者測試則是確保對環(huán)境控制的有效性達到企業(yè)的要求，這在確定安全投資物有所值方面也發(fā)揮了關鍵作用。
當我們試圖對任何安全投資計算成本/效益時，“定量風險評估”似乎是大家都在尋找的零擔妙有，一般來看，定量因素需要等同于美元或者人民幣等。
雖然這種評估并不存在，我們還是能夠測量定性的價值，其中可以包括“高”、“中等”或者“低”風險或者危險程度定義，并設立標準將這些資產(chǎn)分類。然后，根據(jù)這些定性價值分配資產(chǎn)代表的財務意義就能夠在減小控制、技術或者進程的決策方面發(fā)揮作用。只要確定了定量價值，你就可以開始衡量成本與效益的投資比例以確保每項新的安全產(chǎn)品、工具或者進程控制的投資都是合理的。
兩者綜合考慮，并且實事求是地評估，企業(yè)資產(chǎn)和風險的價值和發(fā)現(xiàn)會讓高層管理大開眼界。一旦完成風險評估后，下一步就是進行差距分析以確定企業(yè)哪里容易暴露信息或者缺乏足夠的控制。由此，企業(yè)就能制定一個框架和政策來作為項目的基礎，然后對項目進行審計、缺陷補救，最終實現(xiàn)自動化。
雖然很容易地就制定了這些步驟，但實際執(zhí)行卻是很大的調整。大多數(shù)企業(yè)都沒有富有部署基于風險的信息安全項目經(jīng)驗的內部人員，因此大多數(shù)企業(yè)都是尋求外部信息安全咨詢公司的協(xié)助。
雖然建筑安全的信息環(huán)境的道路有時候似乎很崎嶇，但確實存在這樣的道路，而最佳開始方式就是徹底了解停滯不前帶來的風險。