每個組織都需要開發(fā)自己的持續(xù)性流程來評估需求并證明安全支出的合理性。以下是兩名首席信息安全官 (CISO) 對此給出的建議。

一個組織究竟應該在網(wǎng)絡安全方面花費多少?答案很簡單：根據(jù)具體情況而定。

影響組織具體花費的因素有很多，包括公司所從事的業(yè)務類型，其處理的個人或敏感數(shù)據(jù)或知識產(chǎn)權的類型，其面臨的監(jiān)管要求，其 IT 基礎架構的復雜性，其成為惡意行為者攻擊目標的可能性等等。

與 “一個組織應該在網(wǎng)絡安全方面花費多少” 相比，一個更為重要的問題可能是：“一個組織應該如何確定需要在網(wǎng)絡安全方面花費多少?” 企業(yè)組織通過開發(fā)持續(xù)性流程來確定適當?shù)陌踩С鏊?，對于有效保護系統(tǒng)和數(shù)據(jù)而言至關重要。

諸多因素推動安全支出

最近發(fā)布的一些研究報告展示了一些組織在安全方面的支出現(xiàn)狀。CIO 網(wǎng)站于 2018 年 11 月針對全球 683 位 IT 高管進行的一項名為《2019 CIO狀態(tài)調(diào)查》的報告顯示，絕大多數(shù)受訪者表示，IT 安全性支出只占據(jù)其公司IT總預算的 15%;近 1/4(23%)的受訪組織將其 IT 總預算的 20% 或更多用于安全性方面。

調(diào)查還顯示，企業(yè)規(guī)模似乎并不是一個重要的影響因素，因為就安全性占據(jù) IT 總預算的份額而言，小型企業(yè)實際上與大型企業(yè)相差無幾。而就行業(yè)而言，那些將預算的高份額用于安全方面的行業(yè)主要有專業(yè)服務、金融服務和高科技領域。

當被問及 “2019年哪些業(yè)務計劃將在推動其組織的 IT 投資中發(fā)揮最重要的作用” 時，40% 的 IT 主管表示需要增加網(wǎng)絡安全保護。緊隨其后的業(yè)務計劃還包括提高響應的運營效率，改善客戶體驗，發(fā)展業(yè)務、改變現(xiàn)有業(yè)務流程以及提高盈利能力等等。

除此之外，根據(jù) IDG Communications 對全球 664 名 “以安全為重點” 的專業(yè)人員進行的另一項調(diào)查顯示，近 2/3 (60%) 的企業(yè)組織計劃明年增加其安全預算，且平均增幅為 13%。

決定安全支出優(yōu)先級的因素包括優(yōu)秀實踐 (74%)，合規(guī)性授權 (69%)，響應組織發(fā)生的安全事件 (35%)，董事會授權 (33%)，以及響應發(fā)生在另一個組織的安全事件 (29%)。

國際數(shù)據(jù)公司 (IDC) 的網(wǎng)絡安全產(chǎn)品項目副總裁 Frank Dickson 表示，一般來說，組織應該將其 IT 預算的 7% 到 10% 用于安全方面。但是，如果您的基礎架構非常復雜或受保護的資產(chǎn)極具價值，那么您也可以將預算份額提高至 15% 或更多。同樣地，在某些情況下，5% 的預算份額也可能是合適的。

安全公司如何確定其安全支出?

HITRUST(提供風險管理和安全服務的公司)首席信息安全官 Jason Taule 表示，在 HITRUST 公司，安全預算多年來一直保持穩(wěn)定，這反映我們的領導團隊始終致力于認真對待安全和隱私問題，同時保持著一個足夠嚴謹?shù)挠媱?“以解決公司自身面臨的威脅以及合作伙伴和將數(shù)據(jù)托管在 HITRUST 的客戶所面臨的風險敞口?！?/p>

1. 提高運營效率可確保安全支出穩(wěn)定

Taule 指出，“安全預算多年來一直保持穩(wěn)定” 的事實可能有些誤導。與大多數(shù)企業(yè)組織一樣，我們?nèi)匀恍枰w更廣泛的威脅和風險敞口，但同時也要實現(xiàn)更高的運營效率。因此，為了保持預算穩(wěn)定，這兩方面需要相互協(xié)調(diào)。簡單來說就是，如果不提高運營效率，支出將逐年增加。

2. 控制框架定義了政策和需求

為了幫助確定公司應該在安全方面花費多少，HITRUST 采用了一個控制框架來定義它需要實施的技術、管理和物理政策、程序以及亮點產(chǎn)品。

Taule 表示，我們還做了有關于持續(xù)監(jiān)控的事情(這件事也是我們建議客戶做的)，并且已經(jīng)實施了一些措施和指標來管理我們的安全計劃。這里涉及到了管理問題，因為任何有關安全問題的決定都必須要有“反饋”，如此一來，組織才能夠驗證該決定是否實現(xiàn)了預期的效果，或是根據(jù)反饋信息和需求做出適當?shù)恼{(diào)整。

3. 確定收益遞減點

為了確定適當?shù)闹С鏊剑M織需要確定額外支出在降低風險方面所產(chǎn)生的邊際收益(指增加一單位產(chǎn)品的銷售所增加的收益，即最后一單位產(chǎn)品的售出所取得的收益)的程度。這是組織可以展示其盡職調(diào)查的關鍵點，因為得出的這個程度水平是經(jīng)過精心推理且可辯護的。

4. 一些安全支出是強制性的

很少有組織能夠奢望完全由自己來決定在哪些方面花多少錢，大多數(shù)企業(yè)組織都面臨著各種監(jiān)管要求、客戶期望或是合作伙伴的特殊要求，這些因素都會產(chǎn)生一些額外的支出水平。

在某些情況下，至少在初始階段，企業(yè)可能能夠在其定價中反映出部分費用。但最終，除了最嚴格的要求，其他所有要求都將成為客戶希望企業(yè)付出的商業(yè)成本。

有些組織可能比其他組織更重視安全和隱私問題，甚至可能選擇將其作為與競爭對手區(qū)分的秘訣。因此，他們可能會選擇在安全方面投入更多資金。

5. 進行重復性風險評估

在基本層面上，HITRUST 基于常規(guī)、定期和重復性風險評估回答了在安全方面花費多少的問題。如果是風險沒有發(fā)生改變，那么我們就不需要調(diào)整支出。如果我們得出的結論是，我們面臨的是超出我們接受能力的風險水平，那么我們就需要對支出情況進行調(diào)整。重要的是要強調(diào)，在安全方面花費多少的問題沒有一成不變的答案。

科羅拉多州是如何實現(xiàn)安全支出增長的?

科羅拉多州今年在安全方面的支出為 2150 萬美元(約占 IT 總支出的 6%)，高于 2018 年的 1270 萬美元(約占 IT 總支出的 4%)。據(jù)科羅拉多州州長辦公室首席信息安全官 Deborah Blyth 稱，這是該州政府有史以來很大的安全預算增長。

1. 創(chuàng)建一個框架來衡量安全成熟度

一般來說，很難確定投入多少錢是足夠的，以及適當?shù)闹С鏊綉撌嵌嗌??？屏_拉多州采用了一個框架——20 大安全控制(20 Critical Security Controls)，并根據(jù)該框架衡量安全成熟度。

然后，這種持續(xù)的成熟度評估被用于證明需要額外的資金，來實施額外的控制措施和子控制措施。如果資金阻礙我們?nèi)鎸嵤┻@些子控制措施，我們可能會將其添加到預算請求中。諸如不斷變化的機構需求和當前面臨的威脅等因素也在我們的預算請求中。

2. 鑒于當前的威脅證實支出需求

例如，科羅拉多州交通部在 2018 年 2 月經(jīng)歷的安全事故嚴重影響了今年的預算請求。缺乏足夠的資金推遲了必要的安全改進的實施，這些改進可以防止或減輕安全事件的影響，盡管這些努力已經(jīng)進行了好多年。目前，科羅拉多州已經(jīng)成功構建了業(yè)務案例并提高了其資金水平，以便在今年完成已確定的安全改進方案。

3. 將支出與同行組織進行比較

科羅拉多州還使用了國家首席信息官協(xié)會 (NASCIO) 每隔一年發(fā)布的一項研究，以了解其安全投資與其他州的比較情況。這項研究表明，各州投入了 6%-10% 的 IT 預算用于安全方面。

文章名稱：組織應該在網(wǎng)絡安全方面投入多少錢？
分享網(wǎng)址：http://jinyejixie.com/news/99602.html

成都網(wǎng)站建設公司_創(chuàng)新互聯(lián)，為您提供手機網(wǎng)站建設、網(wǎng)站排名、云服務器、網(wǎng)站導航、品牌網(wǎng)站建設、全網(wǎng)營銷推廣

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)