Help net security發佈了一篇平衡預算與系統安全：風險承受方法
網路風險管理是一種評估和降低網路威脅的過程，它涉及到瞭解組織的資產、威脅、漏洞和控制措施，並根據風險的可能性和影響來制定相應的策略。網路風險管理不僅是一種技術問題，也是一種商業問題，因為它關係到組織的聲譽、合規性、競爭力和財務表現。
為了建立有效的網路風險管理方法，組織需要遵循以下幾個步驟：
- 確定資產：資產是組織的任何有價值的資源，包括硬體、軟體、數據、人員、流程等。組織需要識別和分類其資產，並確定其重要性和敏感性。
- 識別威脅：威脅是任何可能對資產造成損害或影響的事件或情況，例如黑客攻擊、自然災害、人為錯誤等。組織需要分析其所面臨的各種威脅，並評估其發生的可能性和來源。
- 分析漏洞：漏洞是資產存在的任何弱點或缺陷，使其容易受到威脅的利用。組織需要掃描和測試其資產，以發現和修復任何漏洞。
- 評估風險：風險是威脅利用漏洞對資產造成損害或影響的可能性和程度。組織需要根據威脅的可能性和資產的重要性來計算和排序風險，並與預先設定的風險容忍度進行比較。
- 處理風險：風險處理是針對不同等級的風險採取相應的措施，以降低或消除其對資產的影響。組織可以選擇接受、轉移、減少或避免風險，並實施相關的控制措施，例如防火牆、加密、備份、教育等。
- 監測和審核：監測和審核是持續地收集和分析有關資產、威脅、漏洞和控制措施的數據，以評估其效果和效率，並識別任何變化或新出現的風險。組織需要定期進行監測和審核，並根據結果調整其網路風險管理方法。
詳情請看：
Balancing budget and system security: Approaches to risk tolerance