兰德-估计网络风险的全球成本（网络安全）（英文）-2018.1-63页-1mb

报告摘要

总结：全球网络风险成本估算

核心内容

本研究旨在开发一种透明且可适应的方法，用于估算当前和未来全球网络风险的成本。由于网络事件的频率和成本存在显著不确定性，研究特别关注了如何在模型中体现这种不确定性。该方法结合了直接成本和系统性成本（也称为上游成本或连锁成本）的估算，并使用OECD的输入、产出和附加值数据，覆盖超过60个国家的行业部门。

主要观点

网络事件的增加趋势：近年来，网络事件在频率和成本上均显著上升，某些事件造成的损失高达数亿美元。
研究的必要性：不同研究对网络事件的直接和系统性成本估算存在较大差异，部分原因在于方法、假设和数据集的透明度不足。
模型的透明性：本研究提出了一种透明的方法，允许用户调整模型参数和假设，从而进行多种研究分析。
模型的结构：模型基于四个主要集合：国家（C）、行业部门（I）、经济暴露（E）和网络风险（P）。通过这些集合之间的关系，计算直接和系统性成本。
成本的分类：直接成本包括行业部门在事件前、中、后的直接支出，如罚款、赎金、调查费用等；系统性成本则考虑了行业部门间的影响。

关键信息

模型结构

模型分为直接成本和系统性成本两部分。
直接成本：通过以下公式计算：
$$
d_{ci o} = O_{ci} \sum_{e \in E} \sum_{p \in P} Y_{cie} X_{ciep} \quad \forall i \in I, c \in C
$$
其中：
- $O_{ci}$ 是行业部门 $i$ 在国家 $c$ 的产出。
- $Y_{cie}$ 是暴露类型 $e$ 的金额风险占行业部门产出的比例。
- $X_{ciep}$ 是特定风险 $p$ 导致暴露类型 $e$ 风险的比例。
系统性成本：基于OECD数据，计算其他行业部门因直接损失而受到的影响：
$$
d_{cig} = w_{ci} G_c \sum_{e \in E} \sum_{p \in P} Y_{cie} X_{ciep} = \frac{w_{ci} G_c}{O_{ci}} d_{ci o} \quad \forall i \in I, c \in C
$$
其中：
- $w_{ci}$ 是行业部门 $i$ 在国家 $c$ 的GDP占比。
- $G_c$ 是国家 $c$ 的GDP。

成本估算结果

全球网络犯罪成本（根据不同模型）：
- 直接成本：$275 billion 到 $6.6 trillion。
- 总成本（直接 + 系统性）：$799 billion 到 $22.5 trillion。
- 占全球GDP比例：1.1% 到 32.4%。
荷兰网络犯罪成本（根据不同模型）：
- 直接成本：$3.4 billion 到 $84.1 billion。
- 总成本：$9.9 billion 到 $291.3 billion。
- 占荷兰GDP比例：1.26% 到 37.3%。
企业网络黑市成本（Lloyd's案例）：
- 直接成本：$184 billion。
- 总成本：$515 billion。