我们是不是过于强调网络风险了？（译文）
看点： 随着信息科技的应用从辅助决策支持向核心业务运营环节渗透，网络威胁和风险受到越来越多的关注，与此同时，网络事件的（上下游）级联影响虽然远远高于网络事件本身，却并未得到足够的重视。为此，Protecht公司的ERM咨询总监Gary Lynam发表了《风险相互关联的本质：我们是不是过于强调网络风险了？》（The interconnected nature of risk: is there too much emphasis on cyber?）。Gary Lynam指出，没有人会说网络攻击不会对企业构成潜在的灾难性威胁，但其他不太明显的相互关联的风险载体（risk vector）叠加起来，会构成同样巨大的威胁。该文总结了新冠大流行的经验教训，采用了运营韧性方法应对风险，值得一读，以下是全文翻译。
不可预测世界中被忽视的风险
如果说新冠大流行教会了我们什么，那就是百年一遇的事件确实会发生，并且几乎不可能准确预测何时发生。这一残酷的事实使我们敏锐地意识到，任何地方都可能潜伏着不可预见的威胁。对于许多企业来说，最可能的可能是网络威胁，它可以多种形式表现出来（网络钓鱼、恶意软件、勒索软件、DDos攻击等），并且可以随时发起攻击。
尽管网络犯罪占据了头条新闻，但如果只关注网络风险而不是将其作为组织众多相互关联风险的组成部分之一，就会犯错误。风险是以群集形式传播的，因此当网络威胁出现时，无论是边界渗透、未授权数据访问还是恶意软件，它都已经与风险相关的结果相关联。它可能引发GDPR问题，从而通向监管风险，并导致修复活动、财务损失和声誉损害。企业往往很少花时间考虑这些随之而来的风险。问题是，我们如何确保我们能够很好地减轻此类风险？
确定网络风险管理的关键指标
从风险偏好声明（risk appetite statement，RAS）开始，这是公司为保护或实现其战略目标而愿意承担的风险数量和类型的明确定义，分为网络犯罪、地缘政治、经济或金融等子类别。确定相关指标，并指定一个交通灯系统，以指示风险水平以及它是上升还是下降。
例如，如果你要绘制与欧洲陆战相关的风险指标，你可能会测量供应链影响、能源影响，以及这些对你和你的合作伙伴/供应商的影响。这都是更大的映射过程的一部分，你可以通过该过程详细记录业务的端到端的过程。在最细粒度的层级上识别每个步骤，并附上必需的资源，如人员、软件、硬件、供应商、数据和地理位置。然后，详细说明漏洞并应用红色、橙色或绿色标示。
所有这些数据本身都是有用的，但当你添加智能分析层时，它变得更加有价值。使用带有内置分析引擎的集中式集成存储库，通过仪表板板提供易于理解和操作的输出。但是，必须在整个业务中复制这种方法，而不仅仅是一个部门。在指标方面，洞察力很有用，但如果组织在不同领域运行不同的过程，就不是这样了；一切都必须连接起来，保持一致和统一。
随时为中断做好准备
如上所述，新冠大流行重振了情景的应用，并将思考转向可恢复性；组织现在更能接受中断会发生。最近的一些事件，如TSB银行因运营韧性不合格而被处以创纪录的罚款（译注：因操作风险管理和治理失败，英国金融行为监管局和审慎监管局对TSB银行处以总计4865万英镑的罚款），突显出组织需要做好准备：不是假设某些事情可能发生了的计划，而是它已经发生了的计划。下一步怎么办？你的危机管理和业务连续性计划怎么样？你如何确保关键服务的维护？
情景分析
桌面模拟演练非常有助于让人们更多地参与到情景过程中。然而，我们也看到寻求独立专家外部帮助来进行实战模拟演练的组织显著增加，在模拟期间，他们中断运行中的关键系统，来查看会发生什么以及应急计划是否真的有效。正如飞行员在实际飞行中而不仅仅是模拟中学习一样，这种在岗方法会产生令人印象深刻的结果，并为你应对意外做出最好的准备。
除了进行真实测试之外，对你的风险状况有一个概念性的看法也很有帮助。我们推荐所谓的风险领结技术，这有助于提供理性和务实的风险观。这种方法从逻辑上分析风险，因此我们可以采取明智的应对措施，并确保有一个强大的框架来理解和管理风险。这种方法可以分为4个主要组成部分：
- 根本原因（the root causes）——风险从哪里开始；
- 风险事件（the risk events）——将原因和影响联系起来的事件；
- 风险影响（the risk impacts）——对目标的影响；
- 控制（controls）——维护和改变风险的措施。
为各种可能性做好准备的后续步骤
最终，我们需要对风险相互关联的本质有更深入的了解，这样才能更好地防范接下来可能发生的事情（be better protected against any downside coming our way）。通过鼓励采用动态、开放的方式应对风险，我们可以增强运营韧性。不要再考虑可能性，要表现得好象最坏的情况已经发生了一样。在你有意对系统进行压力测试时，做好让员工有一天不工作的准备；建立卫星办公室以增加能力；在资产负债表上留出资金以备不时之需。这些是确保你的企业最有能力承受百年一遇事件的方法。