最近，瞻博網(wǎng)絡(luò )與蘭德公司合作圍繞現代企業(yè)在抵御日趨復雜的網(wǎng)絡(luò )安全問(wèn)題上所面臨的經(jīng)濟挑戰、折中方案和各種需求，提出了全新的深入見(jiàn)解。蘭德公司是一家非營(yíng)利機構，致力于通過(guò)開(kāi)展調研和分析幫助企業(yè)改善當前發(fā)展政策與決策制定過(guò)程。
這項由蘭德公司經(jīng)濟和網(wǎng)絡(luò )安全方面的知名專(zhuān)家共同撰寫(xiě)的深入分析報告顯示，很多首席信息安全官（CISO）在考慮如何以最具工作效率和成本效益的途徑來(lái)控制企業(yè)所面臨的網(wǎng)絡(luò )安全風(fēng)險時(shí)，往往感到缺乏頭緒，無(wú)從下手。研究報告指出，許多公司不斷花錢(qián)購買(mǎi)形形色色的網(wǎng)絡(luò )安全防護工具，但事實(shí)上，他們對這些工具是否能發(fā)揮預期的作用并沒(méi)有多少把握。這已成為當前企業(yè)網(wǎng)絡(luò )安全方面最棘手的問(wèn)題。
瞻博網(wǎng)絡(luò )認為，造成這種現象的原因是，企業(yè)沒(méi)有建立一種科學(xué)的計算方法來(lái)權衡網(wǎng)絡(luò )安全工具和資源需要花費的成本與發(fā)生數據泄露時(shí)給企業(yè)造成的損失。而企業(yè)對于后者沒(méi)有一個(gè)明確的定義，因而也是不可預見(jiàn)的。首席信息安全官需要了解哪些變化因素會(huì )最大限度地影響企業(yè)全面控制網(wǎng)絡(luò )安全風(fēng)險需要花費的成本，以及在保護企業(yè)免受侵擾時(shí)應當采取的各種決策。為實(shí)現這個(gè)目標，蘭德公司開(kāi)發(fā)了一種啟發(fā)式的經(jīng)濟模型，這種模型能夠形象地呈現出影響企業(yè)在防御網(wǎng)絡(luò )安全風(fēng)險中所需成本的主要因素和決策，成為經(jīng)濟史上的一個(gè)新創(chuàng )舉。
蘭德模型預計，未來(lái)10年，企業(yè)在網(wǎng)絡(luò )安全風(fēng)險控制上花費的成本將增加38%。瞻博網(wǎng)絡(luò )認為，現代企業(yè)應當盡快將控制網(wǎng)絡(luò )安全風(fēng)險的成本計劃和管理工作提上日程。盡管現有的經(jīng)濟模型有助于企業(yè)了解和實(shí)現他們的戰略營(yíng)銷(xiāo)或銷(xiāo)售目標，但負責網(wǎng)絡(luò )安全的專(zhuān)業(yè)隊伍仍需尋找科學(xué)的方法來(lái)深入理解有關(guān)于控制網(wǎng)絡(luò )安全風(fēng)險的經(jīng)濟原理，其中涉及的各種可變因素，以及如何合理投資保護企業(yè)的網(wǎng)絡(luò )安全設施。
瞻博網(wǎng)絡(luò )認為，蘭德模型中確認了影響網(wǎng)絡(luò )安全風(fēng)險控制的五大關(guān)鍵因素，這些因素應當納入現代企業(yè)的重點(diǎn)考慮范圍。
第一，大部分網(wǎng)絡(luò )安全工具壽命減半、價(jià)值大打折扣：黑客不斷針對諸如沙盒技術(shù)或反病毒技術(shù)等各種新型網(wǎng)絡(luò )檢測系統研究破解對策。這最終會(huì )導致企業(yè)必須不斷加大投資籌碼，引進(jìn)更先進(jìn)的網(wǎng)絡(luò )安全防護技術(shù)來(lái)抵御黑客入侵。根據蘭德的經(jīng)濟模型預測，未來(lái)10年內，網(wǎng)絡(luò )安全防護技術(shù)的抗黑客能力將下滑65%。現代企業(yè)必須在引進(jìn)新型的網(wǎng)絡(luò )防護工具之前對這些工具展開(kāi)細致的評估，從而選擇那些不易被黑客破解的工具，并專(zhuān)注于提高整個(gè)公司的網(wǎng)絡(luò )安全管理、自動(dòng)化和策略實(shí)施效力。
第二，物聯(lián)網(wǎng)(IoT)面臨重要抉擇：蘭德的經(jīng)濟模型顯示，物聯(lián)網(wǎng)會(huì )影響企業(yè)維護自身網(wǎng)絡(luò )安全需要花費的總成本；然而，至今尚不確定這種影響是會(huì )造成企業(yè)成本的增加還是下降。如果在物聯(lián)網(wǎng)中使用科學(xué)合理的安全技術(shù)和管理方法，那么從長(cháng)遠來(lái)看，企業(yè)在安全防護方面的花費將下降。另一方面，蘭德模型表明，如果公司能夠積極有效地推行網(wǎng)絡(luò )安全控制措施，那么引進(jìn)物聯(lián)網(wǎng)反而會(huì )使公司在未來(lái)十年因遭遇黑客入侵而引發(fā)的損失增加30%。
第三，勞動(dòng)力投資可逐漸降低企業(yè)成本：以人為本的網(wǎng)絡(luò )安全投資能夠為企業(yè)帶來(lái)巨大收益，這些投資包括引進(jìn)安全管理和流程自動(dòng)化技術(shù)、面向員工的高級安全培訓以及外聘專(zhuān)業(yè)網(wǎng)絡(luò )安全維護人員。蘭德模型顯示，與在網(wǎng)絡(luò )安全方面不太活躍的企業(yè)相比，積極開(kāi)展網(wǎng)絡(luò )安全工作的企業(yè)在第一年的實(shí)踐中降低了19%的安全風(fēng)險控制成本，而在第十年則降低了28%的成本。
第四，“通用”方法不可行：大部分企業(yè)在網(wǎng)絡(luò )安全方面的投資很可能都沒(méi)有采取最佳的經(jīng)濟戰略，而這些企業(yè)的投資規模、涉及的信息類(lèi)型以及網(wǎng)絡(luò )安全工作人員的盡職程度都不盡相同。具體來(lái)說(shuō)，蘭德發(fā)現，基本的網(wǎng)絡(luò )安全工具和政策對中小型企業(yè)帶來(lái)的收益最多，而大型企業(yè)和高價(jià)值目標的實(shí)現需要引進(jìn)全方位的策略與網(wǎng)絡(luò )安全工具，因為它們很容易成為高級黑客瞄準的對象。
第五，消除軟件漏洞可大大降低成本：蘭德模型顯示，當前軟件和應用程序中存在的漏洞是導致企業(yè)網(wǎng)絡(luò )安全成本增加首當其沖的一個(gè)問(wèn)題。如果軟件漏洞發(fā)生的頻率減半，則公司的網(wǎng)絡(luò )安全維護總成本會(huì )降低25%。
為了將該模型付諸實(shí)踐，瞻博網(wǎng)絡(luò )發(fā)布了對蘭德經(jīng)濟模式的互動(dòng)式講解報告。這項新工具圍繞蘭德模型建議的網(wǎng)絡(luò )安全重點(diǎn)考慮因素，為企業(yè)提供了總體指導。現代企業(yè)應該在這些重要考慮因素方面投入大量時(shí)間和資源，以減少潛在的安全維護成本。
