20161203-德勤-网络风险_风险驱动绩效_32页_730kb_730kb

网络风险与危机管理总结

核心内容

本文档聚焦于企业董事会和高管层在网络风险评估与危机管理中的关键角色。它强调了网络风险不仅是需要规避的威胁，更是可以转化为竞争优势的机遇。通过建立全面的网络安全体系，企业可以提升其安全、警戒和恢复响应能力，从而在日益复杂的网络环境中实现更稳健的业务绩效。

主要观点

• 网络风险是企业战略中不可忽视的一部分，需与业务目标紧密结合。
• 企业应建立以风险驱动绩效的思维模式，将网络安全纳入整体战略规划。
• 网络安全不是仅属于IT部门的任务，而应成为企业整体文化的一部分。
• 有效的网络风险管理需要明确的领导、适当的资源投入、清晰的流程机制，以及持续的评估与改进。
• 网络危机管理包括三个阶段：就绪、响应和恢复，并需要跨职能团队的协作与准备。

关键信息

1. 网络风险成熟度评估

企业应评估其网络安全成熟度，分为高、中、低三个级别，以了解当前状态并设定改进目标。

• 高成熟度：具备全面的网络安全制度，有明确的决策流程，董事会成员具备相关知识，能够有效管理风险。
• 中成熟度：网络安全制度部分实施，但缺乏全面性与持续性，领导层对网络安全的理解有限。
• 低成熟度：网络安全框架缺失，缺乏专业人才和制度，对风险的监控和应对能力薄弱。

2. 风险驱动绩效

• 风险管理不应只是防御，还应成为推动业务创新和增长的工具。
• 高管层需认识到网络风险与业务绩效之间的正向关系，推动企业在技术应用和全球化中创造价值。

3. 网络安全责任与领导力

• 网络安全责任不仅限于IT部门，而是全员参与。
• 企业需要任命合适的网络安全领导者，具备业务与技术结合的能力。
• 高管层应积极参与网络安全决策，并推动形成以风险为中心的企业文化。

4. 网络危机管理

• 网络危机管理应涵盖就绪、响应、恢复三个阶段，而非仅限于IT层面。
• 企业需建立跨部门协作机制，包括法律、公关、业务、技术、合规等多个职能。
• 有效的危机管理应包括威胁情报收集、事件响应流程、沟通策略、恢复计划等关键要素。

5. 企业生态系统中的角色

• 企业需关注第三方网络安全风险，如承包商、供应商、客户等。
• 网络安全应成为企业生态系统中安全与稳定的一环，推动信息共享与协同防护。

网络安全能力的三大支柱

安全（Security）

• 识别并保护企业最重要的数字资产。
• 建立符合行业标准和法规的安全控制措施。

警戒（Awareness）

• 增强全员对网络安全威胁的意识。
• 通过培训、政策和监控手段提升对潜在威胁的识别与应对能力。

韧性（Resilience）

• 快速检测并响应网络安全事件，降低业务中断影响。
• 制定清晰的恢复计划，确保企业能在危机后迅速恢复正常运营。

危机管理生命周期

• 就绪：建立多职能团队，进行模拟演练，确保系统和流程的准备状态。
• 响应：快速决策，明确沟通渠道，协调跨部门资源应对事件。
• 恢复：控制损失，分析原因，制定改进措施，恢复业务运营。

五个危机管理教训

1. 准备工作无可替代：结构化的演练和模拟是有效响应的基础。
2. 每个决定都很重要：在危机中，决策对声誉和利益相关者信任影响深远。
3. 应在几分钟内快速响应：延迟响应可能扩大损失和负面影响。
4. 危机过去后仍需进行后续工作：包括数据收集、保险处理、合规审查等。
5. 您能变得更强：危机是提升企业韧性和能力的契机。

企业应采取的措施

• 开发或改进网络安全计划，确保其与业务目标一致。
• 定期评估网络风险成熟度，并设定合理的战略目标。
• 建立清晰的事件响应流程、沟通机制和恢复计划。
• 培养跨部门协作能力，包括法律、公关、业务、技术等。
• 通过外包或合作方式获取专业支持，以应对复杂威胁环境。

联络人信息

德勤全球与大中华区简介

• 德勤为全球企业提供审计、咨询、风险管理、税务等专业服务。
• 在大中华区设有24个办事处，拥有近13,500名员工。
• 德勤致力于帮助客户应对复杂的网络安全挑战，提升企业安全与韧性。

结语

网络风险已成为现代企业战略中不可或缺的一部分。通过风险驱动绩效，企业可以更好地应对威胁，同时抓住数字化转型的机遇。董事会和高管层应积极参与网络安全管理，推动形成安全、警戒、韧性三位一体的网络安全体系，以确保企业在面对不断变化的网络威胁时能够稳健前行。