■齐建军

企业如何进行有效的安全投资

■齐建军

如何在安全上进行投资？在信息安全领域这也许是最具挑战性和争议性的话题。首先是FUD——恐惧、不确定性和怀疑。没有可以衡量的指标或提供具体的数据结果，高管们只是因为害怕而花钱。这个理由注定维持不了持续的在安全上进行投入。此后不久，投资回报率（ROI）企图将“收益回报”作为安全市场投资的一个衡量指标。这是采用一个标准的做法来合理制定信息化的预算，但它和安全其实并没有太紧密的联系。实在没有一个好的办法，将在安全上所投资的金钱用某种直观的形式展示出来。因此，把投资回报率与损失期望（ALE）相结合，风险度量策略与损失成本的频率（或概率）相结合的方式，来制定年度总体投资预算。但随之而来的问题是，损失期望太高，并且无法平均分摊到每年，所以损失期望估算值也并不准确。

企业如何进行合理的安全投资

安全投资产生的价值被形容成了一种类似保险的衍生品。个人和企业每年花在买保险上面的钱高达资产本身价值的10％，尽管他们从来没有得到过真正意义上的任何索赔。他们只是花钱买了一份安心，因为他们知道所有的事件后果都将由这份保险承担。同样，企业在安全上的投资，也等同于为其资产不被非法盗用买了一份保险。你是如何衡量这份保险的价值？它肯定是具有价值的，但是非常难以被量化。

安全的商业价值很难用一个简单的货币价值来表达。……