每周阅读文摘20180713 – 网络安全演练专辑(3) 十谈网络安全(Cybersecurity)（中）
网络安全演练专辑分为以下5个部分：
- 从Cyber Europe看网络安全演练
- 网络安全演练分类法
- 十谈Cybersecurity
- 突发事件应急响应、杀伤链、OODA及其它
- 网络安全演练指南
本期阅读与思考文摘，接上期的”网络安全演练分类法”，由于内容较多(近3万字)，“十谈网络安全(Cybersecurity)“分上、中、下三期发出。
3. 十谈网络安全(Cybersecurity)（中）
- 一谈网络安全(Cybersecurity) – 演进的概念：从通信保密到网络空间安全
- 再谈网络安全(Cybersecurity) – 网络安全是数字化业务的核心(必备)能力
- 三谈网络安全(Cybersecurity) – 数字经济的发展与《网络安全法》
- 四谈网络安全(Cybersecurity) - 管理信息安全风险的三个视角：组织，任务和信息系统
- 五谈网络安全(Cybersecurity) – 3万亿美元经济损失!？
- 六谈网络安全(Cybersecurity) – 从组织能力角度看网络安全
- 七谈网络安全(Cybersecurity) - 网络安全与信息科技风险管理
- 八谈网络安全(Cybersecurity) - 网络空间安全知识体系
- 九谈网络安全(Cybersecurity) - 有效的网络安全框架
- 十谈网络安全(Cybersecurity) - 网络安全评价
五谈网络安全(Cybersecurity) – 3万亿美元经济损失？！
本部分内容材料主要引用自《Beyond Cybersecurity: Protecting Your Digital Business》，该书中文版为《麦肯锡的数字业务安全策略》，译者为班晓芳、佟鑫。
从2011年开始，“Risk and Responsibility in a Hyperconnected World”(超级连接世界中的风险与责任)成为世界经济论坛的一个议题。在2014年达沃斯世界经济论坛上，麦肯锡受邀对参与论坛的高层管理人员进行辅导，以提升多个行业应对网络攻击、网络安全和数字韧性(Digital Resilience)的能力和水平，这些行业不局限于技术和通行业，还包括金融服务、制造业、生活消费品、交通运输、能源和公营部门。
通过对180多位CIO、CISO、CTO、CRO、业务部门主管、监管者、政策制定者、技术供应商进行访谈，麦肯锡了解到了网络安全生态系统中所有参与者对网络安全整体环境的理解；此外，通过对近百个企业技术用户的调查，麦肯锡清晰地了解到业务风险、环境威胁及一系列措施的潜在影响；最后，在对超过60家世界500强企业进行网络安全风险管理实践的详细调查后，麦肯锡为世界经济论坛形成了相关报告，下面是报告主要内容：
对于纷繁复杂而又动态化的环境，场景分析(scenario analysis)是最有效的方法之一。场景分析法建立在一套基于优先级、可创造每个未来世界的驱动因素的基础上。麦肯锡通过访谈发现了20多种未来网络安全格局的驱动因素，从企业网络”暴露面”到政府执行网络犯罪法律的能力等等。但在开展场景规划时，20个驱动因素难以处理，不实用，因此主要考虑了能产生最大影响的8个驱动因素，并将它们分为两组：
威胁强度：
- 攻击技术的易用性
- 技术经验丰富的年轻人的不满程度
- 攻击工具的扩散程度
- 攻击者和攻击工具的先进性
响应能力：
- 企业自我保护的经验
- 防御技术创新的速度
- 抗击网络犯罪的国际合作
- 公共和私营部门间共享信息或共享知识的程度
基于这些驱动因素，麦肯锡认为未来可能会有以下3种场景：得过且过的未来(mudding into the future)、数字反弹(digital backlash)和数字韧性(digital resilience)。
威胁强度和响应能力的变化导致场景不同
得过且过的未来。 在这个场景中，威胁强度和响应能力的发展步伐大致相同。这个场景与我们所生活的当今世界(指该研究报告发布的2014年)有着很多相似点。攻击者继续入侵重要的机构，机构反过来觉得他们似乎忙于一个永不停止的”打鼹鼠”游戏。网络安全富有挑战性、花费昂贵，对大多数机构来说都是头疼的事，但是，大多数情况下，网络攻击对世界经济从技术创新中获取价值的能力的影响是有限的。
数字反弹。 在这个场景中，威胁的强度超过企业机构和政府防御网络攻击的能力。这时的一系列攻击不仅让人感到不知所措，还具有高度破坏性，这些攻击削弱了对数字经济的信心。结果，监管者、企业机构和消费者开始叫停数字化进程，导致从技术创新中能够获取的价值急剧下降。
数字韧性。 在这个场景中，企业机构和政府齐心建立对抗网络攻击的韧性能力。攻击和破坏在继续发生，但是越来越清晰的是，它们的危害得到遏制。有针对性的、灵活的防御机制，能降低网络攻击带来的损失。结果是，重要技术的应用速度明显增加。
麦肯锡全球研究所(McKinsey Global Institute，MGI)曾分析技术创新的价值。在其《颠覆性技术》报告中，该研究所研究了改变社会生活、商业以及全球经济的12项技术，到2025年，这些技术每年对全球经济的影响额在14万亿∽33万亿美元。但在对网络安全负责人和专家的访谈中发现，多数技术广泛应用的前提是，必须保护它们所依赖的数据的机密性和完整性。例如，如果医生和患者认为电子病历会被偷走或被破坏，要劝说他们使用电子病历就会很困难。
MGI的12项技术进步中的9项有遭受网络安全威胁的风险，包括云计算、物联网、移动互联网、快速进入新兴市场、知识型工作的自动化、社会技术、电子商务、无人驾驶汽车及下一代基因组学(genomics)。综合MGI的数据，假设9项技术都得到积极实施，在2013∽2020年，每年创造的价值在8万亿∽18万亿美元(见下图)。
在2020年可创造8万亿∽18万亿美元价值的9项技术创新
技术高管们告诉麦肯锡，他们的公司是否开展应用这些技术，很大程度上受这些技术的网络安全风险是否可控的观点影响。在数字韧性(digital resilience)场景中，每年18万亿美元的价值可完全实现，但是其他两个场景中延缓实施新技术的现象会对预期价值的实现产生很大影响。在最好和最坏的场景之间，是3万亿美元的差距。
在报告中，麦肯锡提到，为了实现数字韧性(digital resilience)，企业需要从根本上改变组织结构，将网络安全与业务过程结合，改变当前的IT管理方式。具体地说，数字韧性有以下7个特点：
（1）基于业务风险，定义信息资产的优先级。大多数组织机构不清楚需要保护哪些信息资产，哪些信息资产的保护优先级最高。网络安全团队必须与业务负责人紧密合作，理解整个价值链中的业务风险，从而给信息资产划分优先级。
（2）给最重要的资产提供特别保护。很少有公司能够采用系统化的方法，将信息资产的保护级别与信息资产对公司的重要程度相匹配。通过采取恰当的控制，可确保企业把最适合的资源配置到保护最重要的信息资产上。
（3）将网络安全融入到企业全面风险管理及治理过程。网络安全几乎与企业所有重要业务过程交织在一起。公司必须让网络安全团队与公司每个重要业务部门保持紧密沟通，如产品开发、市场营销、采购、行政管理、人力资源、风险管理，只有这样，才能使公司领导层在保护信息资产和业务的高效运作间做出合适的权衡取舍。
（4）让员工主动保护个人信息资产。员工往往是企业网络安全最大的弱点—员工点击不安全的链接，使用不安全的密码，将敏感文件用电子邮件广泛传播。应根据员工所需要访问的资产，对员工分类管理，帮助每组人员理解日常工作活动可能带来的安全风险。
（5）让网络安全与IT环境紧密结合。几乎IT环境的每个组成部分都会影响到企业安全保护能力—从应用程序开发到老旧硬件设备的更新策略。企业必须改变过去粗放的”追加式安全”(bolt-on security)心态，从员工入职第一天起便对每个员工进行培训，让他们融入技术项目中。
（6）部署主动防御措施应对攻击者。大量有价值的信息可能遭受攻击，这些攻击既可能来自外部，也可能来自企业内部。企业应综合分析与攻击相关的信息，主动应对攻击者，及时调整防御措施。
（7）提高跨部门的应急响应能力。不管是技术团队，还是市场营销团队、行政管理或者客户服务部门，如果不能及时响应入侵攻击，都将对业务造成破坏。企业应开展跨部门的”网络战争游戏”(cyber war games)，以提升实时响应能力。
随着威胁增加，现有的网络安全模式迄待转变
对很多企业而言，2007年以前，网络安全还不是优先考虑的事。即便是大型高端的IT机构，在网络安全防卫上投入也相对较少，对技术漏洞可能造成的商业风险缺乏洞察力。以前企业网络安全防护注重维护网络边界，而IT安全公司主要负责远程安全维护、部署杀毒软件等工作，违背企业安全策略的管理人员及一线员工很少需要承担后果，不安全的应用代码、不安全的基础设施配置也很普遍。
从那时开始，企业开始建设网络安全控制功能，并逐步建立了正式的网络安全部门，设置了首席信息安全官(CISO)，并给予大量资金投入，布署了多项安全措施，例如锁定台式机和笔记本电脑，以防终端用户不经意间给公司带来漏洞。还引入了体系结构标准，审核软件开发流程以识别和修复新应用程序中的安全漏洞等。
将网络安全看成一种安全功能，这非常重要，能大幅降低企业的安全风险。但是，随着网络攻击的持续上升，网络防御变得越来越难。安全工作一般主要由企业网络安全团队承担，但他们也只能努力阻止过去的攻击。这种模式提高了IT安全团队的管理权威地位，尤其是在应对与行业监管相关的合规性时。但这种将大部分安全责任交给安全团队的模式，并没有从整体上考虑全局，也没有注重保护最重要的资产，更重要的是，它防御的是过往的攻击，而非防范未来的入侵，并严重依赖人工干预，在威胁加强的时候扩展性不足，增加了网络安全与企业创新和灵活性之间的冲突。
不存在没有网络攻击的完美世界，但是数字韧性(digital resilience)的未来仍然是可期待的。在这样的未来中，企业和机构通过技术进步获取最大利益，而不是始终陷入与黑客(攻击者)的斗争中，并且也不会破坏自己的商业模式。实现这一场景有两个驱动因素：对组织机构的网络安全运作模式(Cybersecurity Operating Models)进行根本改变，以及建设一个良好、更广泛的网络安全环境。
如果企业想让自己免受不断升级的威胁侵害，且不损害从技术创新中获取价值的能力，网络安全必须融入更广泛的业务过程和IT过程中。为了实现这种新的网络安全运作模式，企业应在以下三个方面做出改变：
（1）改变业务流程，这包括对信息资产和业务风险排列优先级，争取一线业务人员的协助，将网络安全融入更广泛的管理流程中，将应急响应集成到各个业务功能中； （2）改变信息技术，这包括在每个技术环节考虑安全，而不是仅在边界进行防御； （3）改变网络安全运作模式，这包括根据信息资产重要性提供有差别的保护，部署积极防御措施抵抗攻击者。
所有这些改变都会改变当前的”游戏规则”，对减少企业的网络攻击风险都有极大的影响。尤其是改变一线业务人员的行为，将带来巨大的变化，但是由于改变用户行为面临多种挑战，未来能否实现并不清晰。在研究报告的调研中，大多技术高管称，他们在这些方面取得进展不多，对于当时的情况，他们给自己的打分是C及C-（如下图）。
技术高管们意识到，他们在数字韧性的实现上还有很多提升空间
严格来说，进步快的企业机构与其它机构的最大区别并不在于投入的资金多少，而在于高层管理团队对网络安全的参与支持程度。
要实现”数字韧性”(digital resilience)场景，仅仅是企业抛开传统孤立、被动的网络安全运作模式还不够。网络安全生态系统中的其它参与者也需要为支持企业实现这一目标做出相应的调整，比如，监管者在制定法规时，要多制定如何减少业务风险的规范，少制定仅仅为了企业合规而提出的要求。国家要尽量少提特别严格的标准要求，例如针对数据位置、本地技术采购等，这些可能会让互联网拆分为”分裂网”。当然，国内及国际机构可以采取一些积极的措施，促进形成一个更为良性、更为广泛的网络安全环境。行业组织可促进更多的合作研究、在机构间共享更多情报，还有可能为共同的网络安全功能创建行业共享工具等。
从今天来看，这份报告仍有相当大的指导意义(尤其是其中提到的数字韧性的7个特点)。当然，报告中已说明并未考虑地缘政治等对网络安全的影响，当年谁也没有想到这一点对当前及未来网络安全的发展影响巨大。
1995年，尼古拉斯·尼葛洛庞帝（Nicholas Negroponte）出版了《Digital Being》(我国在1997年出了中译本《数字化生存》,2017年出了20周年纪念版)。
在这本书中，尼葛洛庞帝指出：“计算不再只和计算机有关，它决定我们的生存。“在20年前，我们并未完全理解这句话的含义，但在大数据、物联网、AI、可穿戴设备等大行其道的今天，我们应该能够理解到：在未来的数字化社会中(未来已经到来)，网络安全能力是每一个组织、每一个个人所必须具备的基本生存能力，它决定我们的生存！
六谈网络安全(Cybersecurity) – 从组织能力角度看网络安全
对组织而言，网络安全(cybersecurity)本质上是一种组织能力(organizational capability)，它可以用BMIS模型来描述。
关于组织能力(Organizational Capability)，安全领域的研究不多，此前的研究更多来自管理学、特别是人力资源管理领域，如Dave Ulrich(戴维·尤里奇)及其弟子杨国安等的研究和实践(杨国安的”杨三角”，在国内影响力巨大，以后另抽机会认真说说)。
ISACA在2009年发布了《Business Model for Information Security(BMIS)》，该模型基于南加州大学马歇尔商学院关键信息基础设施研究所(the University of Southern California Marshall School of Business Institute for Critical Information Infrastructure Protection)的研究成果 - 系统安全管理模理(Systemic Security Management Model)，下面介绍BMIS。
BMIS是一个三维模型，由4个元素和6个动态互连(DIs, dynamic interconnections)组成。它在传统的IT三元素(People/人、Process/过程和Technology/技术)之外，增加了第4个关键元素—Organization/组织。在一个全面和管理良好的信息安全体系中，BMIS各元素是平衡的，如果模型的某个部分被改变，其它部分会受到影响而扭曲。
相应的动态互连DIs包括：
- 文化(Culture，组织与人的DIs)
- 治理(Governing，组织与过程的DIs)
- 架构(Architecture，组织与技术的DIs)
- 新兴(Emergence，过程与人的DIs)
- 赋能和支持(Enabling and Support，过程与技术的DIs)
- 人的因素(Human Factors，人与技术的DIs)
当然，考虑到该模型中各元素之间的复杂关联关系，我们需要明白，这些DIs并不只受到直接相连2个元素的影响，它们也可能受到非直接连接元素的间接影响。
BMIS是一个比较理论化的模型，也是一个被低估、未得到足够有效使用的信息安全模型，其实，它完全可以扩展并适用于描述其它相关的组织能力，如危机管理/应急管理/业务连续性管理/全面风险管理等领域。在后续对网络安全演练的探讨中，我们会再次提及它。
七谈网络安全(Cybersecurity) – 网络安全与信息科技风险管理
两类安全：safety和security
其实，中文有时候比英文表达起来更好用一些，比如我们现在讨论的”安全(anquan)“。在英文中，除了security，还有safety，我们谈了这么久Cybersecurity，接下来要说说Cybersafety。
Safety来源于拉丁词”salvus”，意思是”healthy”；Security来自拉丁词”secura”，意思是”free of concern”；从词源角度来看，safety更具有个人色彩，针对意外伤害，而security则更多针对人为事件。
举个例子：说一条道路很安全，用safe表示这条路不会遭遇山体滑坡等自然灾害；用secure，指的是这条道路有重兵把守，恐怖分子不会在这条道路上伏击你；再举个例子，nuclear safety即核安全，指的是核能的安全，防止像日本福岛核泄漏这类事件的发生；而nuclear security即核安保，指的是核材料和核设施的安全保卫，防止人为的偷盗运输高浓缩铀这样的核材料。
其实Safety翻译为”安全”的确比较合适，比如”安全生产”(主要研究人的不安全行为、物的不安全状态、管理缺陷和环境的不安全因素)；而Security有时翻译为”安保”(安全保卫)，比如”公安(public security)“部门负责的相关安全保卫工作。
Safety和Security都是安全(anquan)，其主要的区别在于，safety应对的是(非恶意的)人、物、管理及环境问题，security应对的有目的(恶意)的人或群体，即safety应对的是非对抗(非博弈)性风险，security需要处置对抗性(博弈)性风险。
风险三要素：场景、概率和后果
传统的风险三要素是场景、概率和后果，场景是指在特定的风险情况下可能发生的一系列事件，它是所有相斥事件序列的一个子集；概率是场景的可能性；而后果就是这一系列事件的结果(如人员伤亡、经济影响等)。对风险的这一宽泛定义经受了时间的考验，适用于自然灾害风险、技术风险等非对抗性风险领域。
风险三要素：场景、概率和后果
而对恐怖主义、信息安全等对抗性风险而言，情况就有些复杂了，威胁场景和概率不太容易确定，因为对手是活生生的人或群体，他们会思考(对抗性博弈)，并会根据态势变化调整自己的下一步行动。传统的风险分析框架在这种情况下就不太适用了，相应的(security)风险三要素演化为威胁、脆弱性和后果。关于信息安全风险评估，可参考《GB/T 20984-2007 信息安全技术 信息安全风险评估规范》。(相信每个信息安全专业人员都用过类似基于资产的风险评估方法，这种评估方法有其固有缺陷与适用范围，常规情况下使用问题不大)。
为应对对抗性风险，国际应用系统分析研究所的德特洛夫·冯·温特费尔特(Detlof von Winterfeldt)在《风险分析的经验：恐怖主义、自然灾害和技术事故》中指出，对抗性风险(如恐怖主义，信息安全)的风险分析人员需要采用不同于传统自然灾害和技术灾难的风险评估方法，比如：
- 使用红队法来丰富场景；
- 强调系统之间的相互关联性、相互依存性，以及系统性故障；
- 分析对灾难的行为反应。
为提高风险分析人员”预测意外”或”预知未知”的能力，一个团队中既要有传统的风险分析者，又要有熟悉红队法和反事实加强(该方法在军事和情报组织中得到普遍应用)的风险分析者。
风险三要素：威胁、脆弱性和后果
例如，试想一下映射核电站安全壳(通常是圆顶结构的混凝土装置，里面是反应堆堆芯，该装置能防止核辐射外泄)压力的概率函数与故障概率之间的关系。最初询问工程师时，他说在低于每平方英寸120磅的压力下，该安全壳爆裂的可能性为零。当有人质疑时，他说该设计的承受压力是每平方英寸100磅，如果给予充分保护的话，每平方英寸可以再承受20磅的压力。这时如果有人告诉他有证据表明，如果每平方英寸的压力达到90磅的话，该安全壳会爆裂。这个人要他解释一下为什么会出现这种情况，尽管这个”证据”是捏造出来的。这位工程师立刻回答道：“这很简单，肯定是钢筋或混凝土有问题。“最后，这位工程师把”零风险压力”的估算降为每平方英寸90磅。正是这种反事实加强的思考方式使得红队和情报分析者能够影响传统的风险分析。
对抗性风险的分析人员还需要对系统关联性和动态交互作用进行研究，特别是基础设施的薄弱环节；要考虑相互连接的耦合动态系统中的风险传递(涟漪效应)等。
再回到网络安全，经过部分专家多年呼吁后，习近平在2016年网信工作座谈会(2016.4.19)讲话中明确了”网络安全的本质在对抗，对抗的本质在攻防两端能力较量。“在这次讲话中同时提到的还有要”树立正确的网络安全观”，具体包括五个方面：
一是网络安全是整体的而不是割裂的。在信息时代，网络安全对国家安全牵一发而动全身，同许多其他方面的安全都有着密切关系。 二是网络安全是动态的而不是静态的。信息技术变化越来越快，过去分散独立的网络变得高度关联、相互依赖，网络安全的威胁来源和攻击手段不断变化，那种依靠装几个安全设备和安全软件就想永保安全的想法已不合时宜，需要树立动态、综合的防护理念。 三是网络安全是开放的而不是封闭的。只有立足开放环境，加强对外交流、合作、互动、博弈，吸收先进技术，网络安全水平才会不断提高。 四是网络安全是相对的而不是绝对的。没有绝对安全，要立足基本国情保安全，避免不计成本追求绝对安全，那样不仅会背上沉重负担，甚至可能顾此失彼。 五是网络安全是共同的而不是孤立的。网络安全为人民，网络安全靠人民，维护网络安全是全社会共同责任，需要政府、企业、社会组织、广大网民共同参与，共筑网络安全防线。
这些安全观是在”信息安全”往”网络空间安全”演化的过程中提出的，其大背景我在前面也已提及，是整个社会的数字化”密度”越来越高，安全已从单纯的局部性技术问题发展为全局性的、战略性的、业务类问题(“网络安全的本质在对抗”这个提法对扭转一段时期以来，信息安全建设单纯强调技术、合规的思路意义重大。我们必须明确：合规和技术是网络安全的重要组成部分，但网络安全并不能局限在合规和技术上)。
提到对抗，我们都知道，战争是对抗性博弈的极端体现和重要参考。既然安全观已转变为”对抗”，有阵子安全专业人员开始少提合规，大讲战争、对抗，似乎朋友圈里没点打打杀杀的文章就不是安全专家了;-)。(我在接下来的网络安全演练专辑的第4部分也会说说网络杀伤链、OODA循环(OODA是对抗性博弈的核心模型)等概念，此处先略过。)
从信息安全(information security)到网络空间安全(cybersecurity)，研究对象已从”信息科技建设和运行中的安全问题”转变为”信息科技在使用过程中造成的国家、政治、经济、社会和企业安全等问题”，我认为，日常使用的”网络安全(cybersecurity)“一词事实上涵盖了对抗性网络安全风险(网络犯罪、黑客行为主义、网络间谍等)和非对抗性网络安全风险(断电、外包、人为失误等)，即我们常用的”网络安全”既包含cybersecurity，也包含cybersafety。如果我们将中文”网络安全”对应于cybersecurity，那么，在日常的大众用词中，cybersecurity > cybersafety。
当然，业界也有不同的理解，比如在《ISO/IEC 27032: 2012, Information technology – Security techniques – Guidelines for cybersecurity》中，cybersafety > cybersecurity，下图是其描述的网络安全(cybersecurity)与其它安全领域的关系，这个更专业的观点与我们(大众化的)的日常用法并不一致。
ISO 27032中网络空间安全与其它安全领域之间的关系
或者说，网络安全(Cybersecurity)有广义和狭义两种理解，其狭义的理解，即网络空间中的信息安全，与ISO 27032中的一致；但大众在日常中用的是其广义理解，“信息科技在使用过程造成的国家、政治、经济、社会和企业安全问题”。
网络安全与信息科技风险管理
既然说到网络领域的对抗性(security)风险和非对抗性(safety)风险，那我们下面谈谈网络安全和信息科技风险管理的关系。(以下主要内容参考阎庆民、谢翀达、骆絮飞著《银行业金融机构信息科技风险监管研究》)
风险是一个古老的词汇，信息科技风险是随着信息技术广泛应用而新生的词汇，最早出现在20世纪90年代。目前业界对于信息科技风险缺乏统一的认识，国际上存在三种主流的定义。
一是从逻辑角度给出的抽象定义。如国际标准化组织(ISO)指出，信息科技风险是一个给定的威胁(Threat)对一项或者一组信息科技资产的脆弱性进行攻击，并对整个组织造成损害的一种潜在的可能性，信息科技风险就是该威胁发生的可能性与其造成损失的乘积。
二是从技术角度给出偏技术化的定义。如美国国家标准技术机构(National Institute of Standard and Technology，NIST)指出，信息科技风险是指对信息系统脆弱部位的有意或者无意的攻击，及其对组织可能造成的损失。与信息科技风险相关的风险主要是由于非授权的信息披露、验证和信息损坏，无意或者故意泄漏信息，以及其他人为的或者自然的因素等原因引起。
三是从应用角度给出偏重于管理的定义。如国际信息系统审计协会(ISACA)对信息科技风险的定义：信息科技风险即组织内使用、获取、操作、参与、应用信息科技所造成的业务风险。中国银行业监督管理委员会指出，信息科技风险是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。
根据我前面提的对”网络安全”的通俗理解 - “信息科技在使用过程造成的国家、政治、经济、社会和企业安全问题”可知，信息科技风险管理与网络安全基本等同，既包括了cybersecurity，也包括cybersafety。
在过去的二十年间，信息科技风险管理经历了一系列的演变过程。商业环境的快速发展对信息科技的要求在不断改变，用以管理信息科技的方法和思路也随之不断地变化。整个信息科技风险管理的发展脉络就是一个风险管理与风险暴露不断博弈的过程，而风险管理作为一项应对手段，其发展轨迹始终稍慢于信息科技风险所带来的威胁。回顾信息科技风险理论的历史，不难发现其经历了技术导向、控制导向和风险导向三个阶段。
（1）技术导向：信息科技风险历史悠久，其概念的出现最早可以追溯到20世纪60年代。人们对信息科技风险的认识是从信息安全相关风险开始的，随着信息科技的快速发展和广泛应用，由此引发的信息安全问题很早就引起了人们的重视，一直以来，信息安全风险也往往作为信息科技风险的代名词在不同场合使用。在20世纪90年代至21世纪初，早期的信息科技风险管理主要关注信息技术的使用，是以资产安全和保护为主要目的，同时兼顾控制。这一时期的信息科技风险管理主要围绕着利用现代的安全科技手段来应对一些微观层面的信息科技风险，如计算机病毒防护、计算机网络防护、操作系统补丁管理以及用户意识等。该时期的管理框架主要有1995年英国标准协会(BSI)提出的用于信息安全管理实用规则的BS7799以及作为早期信息科技风险管理代表理论的ISO17799标准。
（2）控制导向：2002年至2009年，形成以控制为导向的信息科技风险管理体系。体系化的信息科技内部控制体系最早出现于2002年，美国技术标准局(NIST)在其文献SP800-30中首次提出”信息系统风险”，但正文中仍以传统的信息安全风险作为基本的管理和评估目标。众多商业服务机构在信息科技风险的管理方面经历了多年的实践，例如IBM公司定义的信息科技风险即为”在信息科技的运用过程中所产生的风险”，该定义不仅仅是安全性和一些单纯信息科技本身的风险，还包括企业在应用信息科技进行业务运作的过程中所产生的其它相关的风险。以控制为导向的理论为信息科技风险管理引入了一系列成熟的风险管理流程和方法，并且将信息安全、审计等控制手段有效地融合到一起。相对于以技术为导向的方式，后者能力能专注于更加宏观的信息科技风险管理，主要关注风险的应对与控制改进，同时推行全面的信息安全管理。具有代表性的控制框架除了上述SP800外主要还包括著名的ISACA COBIT框架以及基于ISO 17799标准制定的ISO 27001系列标准等。
（3）风险导向：2009年至今，以风险为导向的信息科技风险管理体系逐步形成。具有全面意义的信息科技风险出现在2009年ISACA发布的The Risk IT Framework Exposure Draft中。该定义有别于传统的信息安全风险概念，把信息科技风险定义为：信息科技风险即企业内的使用、获取、操作、参与、应用信息科技所造成的业务风险。它包括了可能影响业务的与信息科技相关的风险。2009年中国银监会在结合中国银行业风险管理以及信息科技监管实践的基础上，也对信息科技风险进行了定义，指出信息科技风险是信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。这一定义与ISACA的定义从本质上是一致的，强调信息科技风险是一种业务风险，不再是狭义上的信息安全风险，而是一个广泛意义上的概念，既包括信息科技管理过程中的各类操作风险，也包括信息科技在业务应用过程中导致的各类业务风险。在此定义下，信息科技风险被融入到企业全面风险管理中，成为整个企业治理框架中的重要组成部分。在全面风险框架下开展的信息科技风险管理，不仅采用主动的信息科技风险管理策略，同时与企业战略和业务目标相融合，是一种综合的风险管理办法。如何合理并有效地将风险与控制有机地结合在一起，成为信息科技风险管理的关键所在。具有代表性的管理框架主要包括ISACA的Risk IT以及2011年发布的SP800-30修订版。
由狭义定义到广义定义的发展历程，从最早的信息安全风险，到后来的信息系统风险，再到完善的信息科技风险，人们对信息科技风险的认识越来越深入和全面。总体来说，以风险为导向的风险管理体系将成为未来信息科技风险管理的发展趋势。
2013年，在与金融监管机构的专家交流时，对方提到，我们对信息安全的理解分为狭义和广义理解，狭义的信息安全更多侧重于攻防对抗，广义的信息安全在金融业更多称为信息科技风险管理(大意如此，非原话引用)。
信息科技风险近年来覆盖面日益广泛，已经成为企业全面风险管理的重要内容。信息科技的安全运行和健康发展，直接影响到企业的稳健运营，关乎企业声誉、业务安全和社会稳定。在银行业，信息科技风险可能导致银行全部业务瞬间瘫痪，已经成为银行业金融机构的重要风险。(对其它信息科技渗透率高的行业，也是如此)。
由于较早并大规模使用计算机开展业务，银行业在信息科技风险管理领域，走到各行业的前列。我国银行业监管机构在实践中将信息科技风险管理工作分为信息科技风险管理架构，信息科技风险管理流程，信息安全，信息系统开发、测试和维护，信息科技运行，业务连续性管理、外包，内外部审计等多个方面。
杨兵兵在其主编的《IT风云 险中求胜 – 商业银行信息科技风险管理理论与实践》，根据商业银行的实践将信息科技风险领域及子领域划分如下：
