風(fēng)險(xiǎn)管理和利潤率之間的關(guān)系不只是相關(guān)關(guān)系，確切地說，是因果關(guān)系。做好風(fēng)險(xiǎn)管理，可以實(shí)現(xiàn)更好的利潤增長。

[[136413]]

人人都知道IT部門是成本中心，但很多人不知道的是，認(rèn)識(shí)和利用安全風(fēng)險(xiǎn)緩解和利潤之間的聯(lián)系可以創(chuàng)造利潤率增長。

根據(jù)全球會(huì)計(jì)公司普華永道2015年4月的最新調(diào)查報(bào)告《風(fēng)險(xiǎn)調(diào)查：解碼不確定性風(fēng)險(xiǎn)》顯示，73%的受訪高管認(rèn)為風(fēng)險(xiǎn)在上升，只有12%的人算得上是成功的風(fēng)險(xiǎn)管理領(lǐng)導(dǎo)者。報(bào)告顯示，在最近的三年時(shí)間里，這12%當(dāng)中有41%的年利潤增長率超過10%。由此可見，風(fēng)險(xiǎn)管理不只是降低風(fēng)險(xiǎn)，還可以放大凈利潤。

那么，風(fēng)險(xiǎn)和利潤之間是什么樣的關(guān)系呢?企業(yè)應(yīng)該如何利用信息安全風(fēng)險(xiǎn)管理來提高利潤率的增長呢?

風(fēng)險(xiǎn)管理和利潤率增長的關(guān)系

信息安全風(fēng)險(xiǎn)會(huì)通過影響企業(yè)的聲譽(yù)、股價(jià)以及有效運(yùn)作能力來影響企業(yè)的利潤率，優(yōu)秀的風(fēng)險(xiǎn)管理者和管理方法可以對該影響進(jìn)行反擊，從而產(chǎn)生利潤率的增長。

“有效的風(fēng)險(xiǎn)管理特別像是汽車的剎車。開得慢的時(shí)候用不著剎車，只有當(dāng)你想在快速行駛中保持控制才用得著剎車。”例如銀行就使用資本來保持控制。一些金融機(jī)構(gòu)會(huì)預(yù)留資本以防范由于安全漏洞所帶來的損失。

這些資本就是銀行領(lǐng)域關(guān)于有效風(fēng)險(xiǎn)管理和利潤增長之間的關(guān)系是直接因果關(guān)系的一個(gè)很好的例子。有了有效的風(fēng)險(xiǎn)管理，就可以騰出這些資本來用于業(yè)務(wù);而缺少有效的風(fēng)險(xiǎn)管理，可用于業(yè)務(wù)的資本就會(huì)減少。

利用風(fēng)險(xiǎn)管理提高利潤率增長

因?yàn)榉缸锓肿訉镜某掷m(xù)性滲透攻擊，造成防護(hù)成本和事件響應(yīng)成本的上升，網(wǎng)絡(luò)風(fēng)險(xiǎn)如今已經(jīng)成為運(yùn)營風(fēng)險(xiǎn)的重要組成部分。而成本的上升就等于利潤的下降。企業(yè)信息安全風(fēng)險(xiǎn)管理就意味著安全可操作化、減少損失和增加利潤。

利用美國國家標(biāo)準(zhǔn)與技術(shù)研究院所(NIST)發(fā)布的最佳實(shí)踐，或參照聯(lián)邦金融機(jī)構(gòu)檢查委員會(huì)檢查手冊信息庫，將風(fēng)險(xiǎn)管理用于利潤增長，對風(fēng)險(xiǎn)進(jìn)行隔離對于企業(yè)及垂直行業(yè)都有著特殊的意義。如果企業(yè)所在的行業(yè)中有一項(xiàng)公認(rèn)的安全風(fēng)險(xiǎn)評估，那就要考慮使用它，或同時(shí)結(jié)合其他測試和評估。然后在利用風(fēng)險(xiǎn)管理來促進(jìn)利潤率增長的同時(shí)，要遵循以下這些指導(dǎo)意見。

首先，與災(zāi)難性網(wǎng)絡(luò)入侵所產(chǎn)生的成本相比，安全風(fēng)險(xiǎn)管理所產(chǎn)生的成本是相當(dāng)?shù)偷摹?/p>

這一條是毋庸置疑的。因?yàn)槿巳硕贾溃F(xiàn)在每家公司都將最終難逃被網(wǎng)絡(luò)犯罪分子滲透攻擊的命運(yùn)。攻擊者們使用自動(dòng)程序?qū)ヂ?lián)網(wǎng)上的主機(jī)持續(xù)不斷地進(jìn)行著端口掃描以尋找漏洞，最終會(huì)發(fā)現(xiàn)企業(yè)系統(tǒng)中的漏洞并加以利用。企業(yè)必須同樣將自動(dòng)化安全作為風(fēng)險(xiǎn)管理的一部分，或者將安全規(guī)程簡化到安全人員可以將一些任務(wù)安排給操作員進(jìn)行完成。這就是安全可操作化，并且可以包括使用日志管理與安全信息和事件管理工具(SIEM)，讓安全任務(wù)可以由專業(yè)人員進(jìn)行操作。

有效的風(fēng)險(xiǎn)管理特別像是汽車的剎車。開得慢的時(shí)候用不著剎車，只有當(dāng)你想在快速行駛中保持控制才用得著剎車。

從長遠(yuǎn)來看，企業(yè)需要采取足夠的風(fēng)險(xiǎn)緩解技術(shù)并結(jié)合科技來應(yīng)對那些對于企業(yè)來說比風(fēng)險(xiǎn)緩解技術(shù)成本更高的風(fēng)險(xiǎn)。數(shù)據(jù)泄露防護(hù)技術(shù)(DLP)就是技術(shù)解決方案一個(gè)很好的例子，與那些動(dòng)輒造成數(shù)以百萬計(jì)的隱私信息、個(gè)人身份信息、金融賬戶信息泄露的大規(guī)模數(shù)據(jù)泄露相比，還是要?jiǎng)澦愕枚唷?/p>

公司董事會(huì)必須決定何時(shí)風(fēng)險(xiǎn)的成本大于風(fēng)險(xiǎn)管理的成本，并通過相應(yīng)的管理層進(jìn)行網(wǎng)絡(luò)安全部署。他們必須對收入和潛在利潤率增長的減少了如指掌。

其次，風(fēng)險(xiǎn)的存在和變化就像不斷蛻變成長的生物體。尤其是在企業(yè)采取行動(dòng)之后風(fēng)險(xiǎn)所發(fā)生的變化。根據(jù)牛頓第三物理定律，企業(yè)每次采取行動(dòng)，風(fēng)險(xiǎn)都會(huì)以相等且相反的反作用力做出響應(yīng)。所以說風(fēng)險(xiǎn)是有著的動(dòng)態(tài)特性的。

降低風(fēng)險(xiǎn)必須同樣流暢、靈活和動(dòng)態(tài)，以快速有效地響應(yīng)信息風(fēng)險(xiǎn)事件。例如，要降低風(fēng)險(xiǎn)必須足夠靈活，不管是什么樣可能的漏洞，必須要先關(guān)閉漏洞，以確保不再發(fā)生更多的損失。

再次，風(fēng)險(xiǎn)像時(shí)間一樣從不停留。隨著網(wǎng)絡(luò)風(fēng)險(xiǎn)事件的繼續(xù)，由事件所造成的損失也在增加，而且許多網(wǎng)絡(luò)犯罪傾向于將其攻擊無限期延續(xù)下去，直到有人對其進(jìn)行阻斷。想要提高利潤率的企業(yè)需要快速行動(dòng)，盡快采取可靠的、有針對性的風(fēng)險(xiǎn)管理計(jì)劃。

最后，要知道公司里有些風(fēng)險(xiǎn)都是人為造成的。他們才是真正的風(fēng)險(xiǎn)因素，并應(yīng)該為風(fēng)險(xiǎn)負(fù)責(zé)。把他們找出來，然后看看采取什么措施可以減輕風(fēng)險(xiǎn)。公司要對這些人有所管控，并對他們不斷進(jìn)行考評。如果不能對他們進(jìn)行有效管控，那就要加強(qiáng)管控力度。

可盈利的風(fēng)險(xiǎn)管理領(lǐng)導(dǎo)者

能夠有效實(shí)施風(fēng)險(xiǎn)管理并將風(fēng)險(xiǎn)管理與業(yè)務(wù)節(jié)奏緊密結(jié)合的領(lǐng)導(dǎo)者，正是那些可創(chuàng)造更好利潤率增長的人。這些領(lǐng)導(dǎo)者都有著某些特定的風(fēng)險(xiǎn)管理行為和特征。

他們尤其能對企業(yè)最初對信息安全風(fēng)險(xiǎn)所使用的簡單匯總和分級的風(fēng)險(xiǎn)評估措施進(jìn)行很好的擴(kuò)展。進(jìn)行風(fēng)險(xiǎn)評估后，這些領(lǐng)導(dǎo)者會(huì)將風(fēng)險(xiǎn)管理規(guī)程與規(guī)劃流程的戰(zhàn)略業(yè)務(wù)單元相結(jié)合。事實(shí)上，這些領(lǐng)導(dǎo)者應(yīng)該由董事會(huì)發(fā)起，并且從管理層開始將安全責(zé)任貫徹到公司每個(gè)人身上。

這些領(lǐng)導(dǎo)者要對風(fēng)險(xiǎn)管理進(jìn)行積極討論，并結(jié)合運(yùn)行中的每一項(xiàng)業(yè)務(wù)流程的預(yù)測，讓風(fēng)險(xiǎn)管理變得異常透明和顯而易見。

最后，風(fēng)險(xiǎn)永遠(yuǎn)不會(huì)消失，但從風(fēng)險(xiǎn)中遭受負(fù)面影響也并不是不可避免的通過將風(fēng)險(xiǎn)管理集成到業(yè)務(wù)生命周期并開發(fā)有效的策略，企業(yè)可以實(shí)現(xiàn)巨大的競爭優(yōu)勢。

原文地址：http://www.aqniu.com/neo-points/8101.html