巴菲特理论看网络安全建设投资

《中华人民共和国网络安全法》的正式实施从法律层面启动了新一轮的网络安全法律监管要求，各行业机构也纷纷根据《网络安全法》制订和颁布了众多行业管理要求和管理办法来加强对网络安全的监管。可以预见，企业未来必须通过投入并加强网络安全建设才能满足日益严格的法律法规及合规监管要求。

在网络安全建设的过程中，企业网络安全负责人制定决策时或向决策层进行汇报时都会面临着这样的困惑：

◎ 网络安全建设投入的最低要求是多少？

◎ 网络安全建设在什么地方投入才能获得最大的ROI?

◎ 如何开展网络安全建设投入？

绿盟君从经济学的角度来尝试提供一个包含明确的重点和关键事项的网络安全投资分析以协助企业的CIO或CSO们更好的开展网络安全建设。

博弈论 - 做个理性的决策者

关于安全投入占比的问题，美国马里兰大学的两位教授Lawrence Gordon and Vernon Loeb在2002年出版的研究报告中提出了网络经济学中著名的Gordon-Loeb model模型。

该模型总结两个结论：

其一，企业额外的安全投入可以带来额外的好处并将风险减少到某一个点。但超过这个点后，更多安全投入所带来的额外好处将变得不明显。

其二，企业网络安全投入不应该超出因被入侵而导致发生潜在损失总量的37%。

根据他们的研究结论，作为机构的决策者需要利用博弈思维以战略的眼光来统领企业的安全建设原则，以谋略的方式来做出最优的商业安全投资。就网络安全投入占比究竟应该是多少的问题为例，绿盟君建议企业决策者可重点考虑两个博弈因素，即被保护对象因入侵而带来的潜在损失和企业能够承担的风险，来决定具体的投入建设占比。

• 首先，应该尽可能以定量的方式准确计算因被成功入侵而带来的潜在损失。

• 然后，根据该潜在损失，结合企业可接受程度来选择投入成本。

• 其次，网络安全永远无法做到百分之百，为了保护低价值目标而投入过多资源在ROI上是不经济的，因此企业机构的决策者应该理解和接受适当的风险。这种风险不仅包括企业自身可能的风险损失，也包括决策者自身的个人风险。

边际效益 -最小的投入获得最大的回报

在经济学里面，边际收益（Marginal Revenue）是指增加一单位产品的销售所增加的收益，即最后一单位产品的售出所取得的收益。它可以是正值或负值。边际收益是厂商分析中的重要概念。

而边际收益递减律，是在技术水平不变的情况下，当把一种可变的生产要素投入到一种或几种不变的生产要素中时，最初这种生产要素的增加会使产量增加，但当它超过一定限度时，增加的产量将要递减，最终还会使产量绝对减少。

因此对于企业而言，应该考虑网络安全建设投入的边际效益递减率，在建设投入有限的情况下，寻求一个最佳的边界效益。而达到这样的目的，最好的方式是考虑通过数个关键防护措施而建立一个安全边界基线，并根据这样一个基线进行安全初期及重点的建设投入。

在此，结合国外的研究报告及多年的实践经验，给出以下6项关键防护措施：

1. 网络边界安全访问控制及防护

2. 漏洞扫描及补丁修补管理

3. 操作系统、应用软件及网络设备的安全配置

4. 个人终端安全防护

5. 业务系统的最小特权管控

6. 员工安全意识培训

这6个关键防护措施的实施可以较好的解决网络安全中的网络入侵、漏洞利用、恶意软件、信息泄露、社会工程学攻击。同时这6个措施的管理和技术资源投入相对较低并能获得较好的效果。

价值投资 - 找到最适合投资

熟悉巴菲特投资理论的人都知道其价值投资最重要的理论之一是选择优质的公司。通常考虑的因素包括：

（1）这家公司在10年至20年后还在不在？

（2）未来几年这家公司的盈利水平还能不能持续增长？

（3）公司有没有良好的机制和管理系统？

从今天我们讨论的网络安全投资来看，我们也可以借鉴这一理论。对于企业而言，在进行网络安全建设投资的时候需要考虑以下因素，从而实现价值投资。这些因素包括：

1. 投资的重点是否覆盖机构最需要保护的重点对象？

2. 投资建设的重点是否考虑了未来业务发展需求和合规监管的要求？

3. 投资的安全技术是否是业界主流或未来安全防护的趋势？

4. 投资的产品厂家和服务商是否能提供后继持续的和优质的服务维护？

结束语

网络安全建设投资对企业而言不是一项可有可无的投资。面对今天市场上种类繁多的安全防护产品和防护手段，企业的网络安全负责人可通过经济学的理论，以经济学家的思维从另外一个角度来思索并开展网络安全建设。这样即有利于组织集中更多的资源以应对更为复杂的网络威胁，又可产生和带来良好的经济效益，同时也反映出企业有效的网络防御战略和精妙的组织管理能力。

	请点击屏幕右上方“…” 关注绿盟科技公众号 NSFOCUS-weixin

↑↑↑长按二维码，下载绿盟云APP