組織應(yīng)該在網(wǎng)絡(luò)安全方面投入多少錢？
每個組織都需要開發(fā)自己的持續(xù)性流程來評估需求并證明安全支出的合理性。以下是兩名首席信息安全官 (CISO) 對此給出的建議。
一個組織究竟應(yīng)該在網(wǎng)絡(luò)安全方面花費多少?答案很簡單：根據(jù)具體情況而定。
影響組織具體花費的因素有很多，包括公司所從事的業(yè)務(wù)類型，其處理的個人或敏感數(shù)據(jù)或知識產(chǎn)權(quán)的類型，其面臨的監(jiān)管要求，其 IT 基礎(chǔ)架構(gòu)的復(fù)雜性，其成為惡意行為者攻擊目標的可能性等等。
與 “一個組織應(yīng)該在網(wǎng)絡(luò)安全方面花費多少” 相比，一個更為重要的問題可能是：“一個組織應(yīng)該如何確定需要在網(wǎng)絡(luò)安全方面花費多少?” 企業(yè)組織通過開發(fā)持續(xù)性流程來確定適當?shù)陌踩С鏊剑瑢τ谟行ПＷo系統(tǒng)和數(shù)據(jù)而言至關(guān)重要。
諸多因素推動安全支出
最近發(fā)布的一些研究報告展示了一些組織在安全方面的支出現(xiàn)狀。CIO 網(wǎng)站于 2018 年 11 月針對全球 683 位 IT 高管進行的一項名為《2019 CIO狀態(tài)調(diào)查》的報告顯示，絕大多數(shù)受訪者表示，IT 安全性支出只占據(jù)其公司IT總預(yù)算的 15%;近 1/4(23%)的受訪組織將其 IT 總預(yù)算的 20% 或更多用于安全性方面。
調(diào)查還顯示，企業(yè)規(guī)模似乎并不是一個重要的影響因素，因為就安全性占據(jù) IT 總預(yù)算的份額而言，小型企業(yè)實際上與大型企業(yè)相差無幾。而就行業(yè)而言，那些將預(yù)算的最高份額用于安全方面的行業(yè)主要有專業(yè)服務(wù)、金融服務(wù)和高科技領(lǐng)域。
當被問及 “2019年哪些業(yè)務(wù)計劃將在推動其組織的 IT 投資中發(fā)揮最重要的作用” 時，40% 的 IT 主管表示需要增加網(wǎng)絡(luò)安全保護。緊隨其后的業(yè)務(wù)計劃還包括提高響應(yīng)的運營效率，改善客戶體驗，發(fā)展業(yè)務(wù)、改變現(xiàn)有業(yè)務(wù)流程以及提高盈利能力等等。
除此之外，根據(jù) IDG Communications 對全球 664 名 “以安全為重點” 的專業(yè)人員進行的另一項調(diào)查顯示，近 2/3 (60%) 的企業(yè)組織計劃明年增加其安全預(yù)算，且平均增幅為 13%。
決定安全支出優(yōu)先級的因素包括最佳實踐 (74%)，合規(guī)性授權(quán) (69%)，響應(yīng)組織發(fā)生的安全事件 (35%)，董事會授權(quán) (33%)，以及響應(yīng)發(fā)生在另一個組織的安全事件 (29%)。
國際數(shù)據(jù)公司 (IDC) 的網(wǎng)絡(luò)安全產(chǎn)品項目副總裁 Frank Dickson 表示，一般來說，組織應(yīng)該將其 IT 預(yù)算的 7% 到 10% 用于安全方面。但是，如果您的基礎(chǔ)架構(gòu)非常復(fù)雜或受保護的資產(chǎn)極具價值，那么您也可以將預(yù)算份額提高至 15% 或更多。同樣地，在某些情況下，5% 的預(yù)算份額也可能是合適的。
安全公司如何確定其安全支出?
HITRUST(提供風險管理和安全服務(wù)的公司)首席信息安全官 Jason Taule 表示，在 HITRUST 公司，安全預(yù)算多年來一直保持穩(wěn)定，這反映我們的領(lǐng)導(dǎo)團隊始終致力于認真對待安全和隱私問題，同時保持著一個足夠嚴謹?shù)挠媱? “以解決公司自身面臨的威脅以及合作伙伴和將數(shù)據(jù)托管在 HITRUST 的客戶所面臨的風險敞口。”
1. 提高運營效率可確保安全支出穩(wěn)定
Taule 指出，“安全預(yù)算多年來一直保持穩(wěn)定” 的事實可能有些誤導(dǎo)。與大多數(shù)企業(yè)組織一樣，我們?nèi)匀恍枰w更廣泛的威脅和風險敞口，但同時也要實現(xiàn)更高的運營效率。因此，為了保持預(yù)算穩(wěn)定，這兩方面需要相互協(xié)調(diào)。簡單來說就是，如果不提高運營效率，支出將逐年增加。
2. 控制框架定義了政策和需求
為了幫助確定公司應(yīng)該在安全方面花費多少，HITRUST 采用了一個控制框架來定義它需要實施的技術(shù)、管理和物理政策、程序以及亮點產(chǎn)品。
Taule 表示，我們還做了有關(guān)于持續(xù)監(jiān)控的事情(這件事也是我們建議客戶做的)，并且已經(jīng)實施了一些措施和指標來管理我們的安全計劃。這里涉及到了管理問題，因為任何有關(guān)安全問題的決定都必須要有“反饋”，如此一來，組織才能夠驗證該決定是否實現(xiàn)了預(yù)期的效果，或是根據(jù)反饋信息和需求做出適當?shù)恼{(diào)整。
3. 確定收益遞減點
為了確定適當?shù)闹С鏊剑M織需要確定額外支出在降低風險方面所產(chǎn)生的邊際收益(指增加一單位產(chǎn)品的銷售所增加的收益，即最后一單位產(chǎn)品的售出所取得的收益)的程度。這是組織可以展示其盡職調(diào)查的關(guān)鍵點，因為得出的這個程度水平是經(jīng)過精心推理且可辯護的。
4. 一些安全支出是強制性的
很少有組織能夠奢望完全由自己來決定在哪些方面花多少錢，大多數(shù)企業(yè)組織都面臨著各種監(jiān)管要求、客戶期望或是合作伙伴的特殊要求，這些因素都會產(chǎn)生一些額外的支出水平。
在某些情況下，至少在初始階段，企業(yè)可能能夠在其定價中反映出部分費用。但最終，除了最嚴格的要求，其他所有要求都將成為客戶希望企業(yè)付出的商業(yè)成本。
有些組織可能比其他組織更重視安全和隱私問題，甚至可能選擇將其作為與競爭對手區(qū)分的秘訣。因此，他們可能會選擇在安全方面投入更多資金。
5. 進行重復(fù)性風險評估
在基本層面上，HITRUST 基于常規(guī)、定期和重復(fù)性風險評估回答了在安全方面花費多少的問題。如果是風險沒有發(fā)生改變，那么我們就不需要調(diào)整支出。如果我們得出的結(jié)論是，我們面臨的是超出我們接受能力的風險水平，那么我們就需要對支出情況進行調(diào)整。重要的是要強調(diào)，在安全方面花費多少的問題沒有一成不變的答案。
科羅拉多州是如何實現(xiàn)安全支出增長的?
科羅拉多州今年在安全方面的支出為 2150 萬美元(約占 IT 總支出的 6%)，高于 2018 年的 1270 萬美元(約占 IT 總支出的 4%)。據(jù)科羅拉多州州長辦公室首席信息安全官 Deborah Blyth 稱，這是該州政府有史以來最大的安全預(yù)算增長。
1. 創(chuàng)建一個框架來衡量安全成熟度
一般來說，很難確定投入多少錢是足夠的，以及適當?shù)闹С鏊綉?yīng)該是多少。科羅拉多州采用了一個框架——20 大安全控制(20 Critical Security Controls)，并根據(jù)該框架衡量安全成熟度。
然后，這種持續(xù)的成熟度評估被用于證明需要額外的資金，來實施額外的控制措施和子控制措施。如果資金阻礙我們?nèi)鎸嵤┻@些子控制措施，我們可能會將其添加到預(yù)算請求中。諸如不斷變化的機構(gòu)需求和當前面臨的威脅等因素也在我們的預(yù)算請求中。
2. 鑒于當前的威脅證實支出需求
例如，科羅拉多州交通部在 2018 年 2 月經(jīng)歷的安全事故嚴重影響了今年的預(yù)算請求。缺乏足夠的資金推遲了必要的安全改進的實施，這些改進可以防止或減輕安全事件的影響，盡管這些努力已經(jīng)進行了好多年。目前，科羅拉多州已經(jīng)成功構(gòu)建了業(yè)務(wù)案例并提高了其資金水平，以便在今年完成已確定的安全改進方案。
3. 將支出與同行組織進行比較
科羅拉多州還使用了國家首席信息官協(xié)會 (NASCIO) 每隔一年發(fā)布的一項研究，以了解其安全投資與其他州的比較情況。這項研究表明，各州投入了 6%-10% 的 IT 預(yù)算用于安全方面。
【本文是51CTO專欄作者“李少鵬”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】
