BIS国际清算银行-The-drivers-of-cyber-risk_45页_684kb

总结：Cyber Risk 的驱动因素

核心内容

本论文探讨了企业面临网络风险（cyber risk）的驱动因素，分析了不同行业和事件类型对网络风险成本的影响，并评估了技术能力、云服务使用和加密货币活动在网络风险中的作用。研究基于一个包含超过100,000起网络事件的独特数据库，揭示了网络风险的复杂性和系统性影响。

主要观点

• 网络事件日益复杂：近年来，网络攻击变得更加复杂，其成本难以准确衡量。
• 企业规模与网络成本正相关：企业规模越大，单次网络事件的平均成本越高，但弹性较低（1% 的收入增长仅导致 0.2% 的网络成本增加）。
• 网络事件的系统性影响：某些行业，如金融和保险业，虽然面临高频率的网络攻击，但其成本相对较低，这归因于更高的IT安全投资。
• 云服务的影响：使用云服务可以降低网络事件的平均成本，但随着云服务提供商变得系统重要，依赖云服务可能增加尾部风险。
• 加密货币相关风险：加密货币活动（尤其是交易所）由于缺乏监管，成为网络攻击的高风险领域，且攻击频率与比特币价格呈正相关。
• 信息不对称与政策框架：企业在选择IT安全方案时面临信息不对称问题，而拥有更健全政策框架的行业能更有效降低网络风险成本。

关键信息

1. 网络风险的定义与影响

• 网络风险指由于IT系统故障导致企业面临财务损失、运营中断或声誉损害的风险。
• 网络事件包括恶意攻击（如勒索软件、黑客行为）和非恶意事件（如人为错误引发的系统故障）。

2. 网络事件的统计特征

• 网络事件数量：2016年之前网络事件数量迅速增长，但此后有所下降，可能与事件发现和报告延迟有关。
• 网络事件成本：过去十年中，网络事件的平均成本持续上升。
• 事件类型：隐私违规和钓鱼/盗刷欺诈事件最频繁，但成本较低；数据泄露事件频率和成本均较高；业务中断事件虽少，但成本高昂。

3. 行业分析

• 金融和保险业：虽然遭受高频率攻击，但成本较低，主要得益于更高的IT安全投资。
• 运输与仓储业：平均成本最高，其次是批发贸易和专业、科学和技术行业。
• 信息与通信技术（ICT）行业：总损失最高，但单次事件的平均成本较低。
• 行业差异：某些行业（如金融、保险、零售）因高频率攻击而成为主要目标。

4. 技术能力的影响

• 技术能力较强的行业（如IT专业人员更多、计算机使用更广泛、IT培训更充分）在应对网络事件时更具优势。
• 技术投资有助于降低网络事件成本。

5. 云服务与网络风险

• 使用云服务可以降低网络事件成本，但增加了企业之间的相互依赖性。
• 云服务提供商若出现漏洞，可能引发多个企业间的相关风险。
• 随着云服务的普及，企业对云服务的依赖可能加剧尾部风险。

6. 加密货币相关风险

• 加密货币活动（尤其是交易所）由于缺乏监管，成为网络攻击的高风险领域。
• 比特币价格上升与加密货币交易所遭受攻击的频率呈正相关。
• 攻击后比特币价格通常不会下降，表明市场对加密货币风险的反应有限。

7. 政策与监管

• 金融行业因监管要求更严格，数据收集更完善，因此相关研究更为成熟。
• 政策框架健全的行业能更有效地降低网络风险成本。
• 信息不对称可能导致企业在技术投资决策上出现偏差。

8. 网络风险的系统性影响

• 网络风险可能引发系统性后果，尤其在金融基础设施中。
• 网络攻击可能导致连锁反应，影响多个行业。

9. 数据局限性

• 数据主要来源于美国，因此可能无法代表全球网络事件的全貌。
• 部分事件的损失金额未被公开，导致数据缺失。

结构总结

行业分布

• 地理分布：大部分网络事件发生在美洲（尤其是美国），其次是欧洲和非洲。
• 行业分布：金融和保险业（FI）遭受最多攻击，但平均成本较低；信息与通信技术（ICT）行业总损失最高；运输与仓储业平均成本最高。

事件类型

• 数据泄露：最常见，但成本相对较低。
• 业务中断：虽少但成本高。
• 隐私违规：最常见，但成本较低。
• 欺诈：包括钓鱼和盗刷，频率高但成本低。

技术与云服务

• 技术能力提升有助于降低网络事件成本。
• 云服务使用可降低平均成本，但可能增加系统性风险。

加密货币与网络风险

• 加密货币活动缺乏监管，容易成为攻击目标。
• 比特币价格上涨与交易所攻击频率正相关，但攻击后价格不下降。

政策与监管

• 政策框架健全的行业更能有效管理网络风险。
• 金融行业因监管严格，数据收集更完善，研究更为深入。

结论

本研究强调了网络风险的复杂性及其对不同行业的影响，并指出技术投资、云服务使用和监管框架是降低网络风险成本的关键因素。同时，加密货币活动因缺乏监管而成为高风险领域，需要更严格的政策干预以减少潜在的系统性影响。