오늘날, 오늘날, 다양한 프레임 워크가 회사가 요구하는 사이버 위험과 싸우기위한 조치로 제시되지만, 일반적인 것은 위험 식별 및 평가가 대책의 "첫 번째 코너"라는 것입니다.
■ 사이버 공격 "영향 레벨"평가
사이버 위험 평가라고도하더라도 목표, 방법론 및 관심 범위는 다양합니다. 이 기사는 순전히 사건이나 보안 수준의 상황이 아니라 관리자와 비즈니스 측면이 이해하기 쉬운 경제 및 사회적 지표를 기반으로 한 평가를 소개합니다. 다시 말해, 취약성 진단 및 스트레스 테스트를 통해 검증 된 "주파수 (확률)"의 평가가 아니라 사이버 공격이 발생하고 손상을 일으키는 경우 "충격 수준"의 평가입니다.
그러나 현재 사이버 위험 평가 방법은 설정되지 않았습니다. 평가 결과와 필요한 응답은 사용 된 평가 방법에 따라 극적으로 변경됩니다. 사이버 위험을 평가할 때는 회사의 비즈니스 및 자산을 기반으로 평가 방법을 고려하고 선택하는 것이 중요합니다.
평가의 일부 예가 제시됩니다. 가장 간단한 방법은 "델파이 방법"입니다. 여기에는 전문가 인터뷰 및 설문 조사를 반복하여 주요 위험을 식별하고 평가하는 것이 포함됩니다. 사이버 위험뿐만 아니라 상대적으로 비교적으로 많은 다른 위험을 비교하고 평가할 수 있습니다.
■ 최악의 경우를 정량화하는 "시나리오 방법"
"시나리오 방법"은 특정 가정과 가정을 기반으로 한 사이버 공격으로 인한 손실/충격 평가이며 일반적으로 예상되는 최대 손실 (PML)을 계산합니다. British Lloyd and Science Inc.의 평가 보고서 (2017 년 7 월)는 잘 알려진 예입니다. 그들이 구상 한 시나리오는 (1) 클라우드 인프라 제어 프로그램이 변조되고, 수많은 클라우드 서버가 중지되고 있으며, 분석가들은 열차에 가방을 남겨두고, 가방에 있던 모든 버전의 OS에 영향을 미치는 것)는 어두운 웹에서 구입하여 판매되었습니다. 각각의 최대 전 세계 손실은 (1)에서 530 억 달러, (2)에서 287 억 달러로 추정됩니다. 시나리오 방법은 "최악의 경우"를 쉽게 가정 할 수 있지만 가정과 가정에 기반한 평가 결과가 크게 왜곡된다는 것도 사실입니다.
■ 기업 가치의 변동 범위를 측정하기위한 "자동차 분석"
미국 정부 경제 자문위원회 보고서 (2018 년 2 월)에서 볼 수 있듯이 "누적 초과 수익률 (CAR) 분석"은 특정 가정과 가정에 근거한 사이버 공격의 손실과 영향에 대한 평가입니다. 자동차 분석은 회사 가치의 손실을 평가합니다. 구체적으로, 사이버 공격이 수행 될 때 회사 가치의 변동 범위 (실제 가치)와 아무것도 수행되지 않을 때 회사 가치의 변동 범위 (가정 값) 사이의 누적 차이가 계산됩니다. 이는 사이버 공격 손상 (예 : 영업 비밀 유출 및 전략 정보)을 정량화하기 어려운 지역에서는 양적 평가가 가능할 수 있다는 이점이 있습니다. 반면에, 그것은 나중에 실제 사이버 공격의 평가이며, 아무것도 일어나지 않으면 "넓은 범위의 가치 변동"을 측정하기가 어렵다.
■ 확률 론적 손실 평가 = "Monte Carlo Method"
금융 산업에서 잘 알려진 "VAR (Value At Risk) 측정"은 과거 사이버 공격 손상의 데이터 및 손실 모델을 기반으로 수백만에서 수백만의 반복 시뮬레이션을 포함하는 확률 론적 손실 평가입니다. 특정 신뢰 구간 (50%, 90%, 95%등)을 기준으로 최대 손실 금액을 계산하는 것이 정확하지만 평가 결과의 유효성은 데이터 세트와 모델에 따라 다릅니다. 2018 년 6 월, 국제 통화 기금 (IMF)은 "금융 산업에 대한 사이버 공격의 상실"보고서를 발표했지만 평가 결과는 제한된 데이터 세트에 의존하고 "예제 등급"임을 인정했습니다. 또한, 과거 데이터 세트의 측정은 빠르게 변화하는 공격 추세에 충분하지 않을 수 있습니다.
여기에 소개 된 위험 평가의 평가 지점은 주로 경제적 손실 금액이지만 비 경제적 손실 평가도 중요합니다. 예를 들어, 일본 정부의 "중요한 인프라 평가에 대한 심각성"은 평가 목표를 중요한 인프라 서비스로 제한하지만 사이버 공격의 심각성은 서비스의 "지속 가능성"및 "안전성"에 따라 평가됩니다. 우리가이를 일반 회사로 대체하면 사이버 공격을 사용하여 "인간의 생명 안전에 대한 사고와 위험"및 "중요한 비즈니스 정지 기간"을 측정 할 수 있습니다.
[21st Century Policy Research Institute]