لسنوات عديدة، اعتمد قطاع الأمن السيبراني على الخرائط الحرارية النوعية للتواصل بشأن المخاطر. لقد اعتدنا على تعيين ألوان مثل الأحمر والبرتقالي والأخضر لتمثيل التهديدات. ومع ذلك، ومع مطالبة قادة الأعمال بمزيد من الشفافية فيما يتعلق بالتعرض المالي الفعلي للمنظمة، لم تعد هذه التصنيفات الذاتية كافية. في iExperts، ندعو إلى الانتقال نحو تقدير المخاطر السيبرانية كمياً (CRQ)، وهي منهجية تترجم الثغرات التقنية إلى مصطلحات مالية.

أساس معيار ISO 31000

للانتقال نحو إدارة مخاطر قائمة على البيانات، يجب أن ننظر إلى الأطر المعمول بها. يوفر ISO 31000 المبادئ والمبادئ التوجيهية العامة لإدارة المخاطر التي تسمح للمنظمات بدمج المخاطر في حوكمتها الشاملة. ومن خلال تطبيق هذه المبادئ على الأمن السيبراني، يمكننا الابتعاد عن المخاوف التقنية المنعزلة والدخول في مجال مخاطر المؤسسة. يتطلب هذا النهج تحديد الأصول المحددة المعرضة للخطر وتكرار أحداث الخسارة المحتملة.

• تحديد الأصول: تحديد القيمة المالية للبيانات والأنظمة الأكثر أهمية للعمليات.
• تحليل التكرار: استخدام البيانات التاريخية واستخبارات التهديدات لتقدير عدد المرات التي قد يقع فيها حدث معين.
• حجم التأثير: حساب التكلفة المحتملة للاختراق، بما في ذلك الرسوم القانونية، والغرامات التنظيمية، وفترات التوقف التشغيلي.

"عندما تخبر المدير المالي أن الخطر 'عالي'، فإنه يسأل عما يعنيه ذلك بالنسبة للأرباح النهائية. ولكن عندما تخبره أن الخطر يمثل خسارة سنوية متوقعة بقيمة 3.2 مليون دولار، فإنه يسأل عن كيفية التخفيف منها."

المخرجات الرئيسية للنجاح الكمي

يتطلب الانتقال إلى نموذج كمي تحولاً في كيفية جمع البيانات ومعالجتها. يوصي الفريق في iExperts بالتركيز على المقاييس الأساسية التالية لبناء نموذج مالي موثوق للمخاطر السيبرانية:

• توقعات الخسارة السنوية (ALE)
• توقعات الخسارة الفردية (SLE)
• معدل الحدوث السنوي (ARO)
• عائد الاستثمار في تقليل المخاطر

نصيحة احترافية

عند حساب الخسارة، لا تنسَ تضمين الخسارة الثانوية. يشير هذا إلى التكاليف المرتبطة برد فعل أصحاب المصلحة، مثل تقلب أسعار الأسهم، وفقدان ثقة العملاء، والضرر الذي يلحق بالعلامة التجارية على المدى الطويل، والتي غالباً ما تفوق تكاليف الاستجابة الأولية للحوادث.

الخاتمة

إن الانتقال من تقييم المخاطر النوعي إلى الكمي ليس مجرد ترقية تقنية؛ بل هو ترقية في التواصل. فهو يسمح لفريق الأمن بالتحدث بلغة الأعمال. ومن خلال الاستفادة من مبادئ ISO 31000 وخبرات iExperts، يمكن للمنظمات تحديد أولويات استثماراتها الأمنية بناءً على التأثير المالي الفعلي بدلاً من التصور الشخصي. في مشهد التهديدات الحديث، تعد البيانات أقوى أداة لديك للدفاع عن المؤسسة.