2016年-德勤中国_网络风险_32页_763kb

文档总结：评估网络风险与危机管理

核心内容概述

本文档聚焦于网络风险评估与危机管理，旨在帮助企业董事会和高管层理解如何通过风险管理来提升业务绩效，同时有效应对日益复杂的网络威胁。文档强调了网络安全不仅是技术问题，更是企业战略、文化、治理、合规和运营等多方面的综合议题。

主要观点

1. 网络风险可以创造价值：随着信息技术的广泛应用和企业全球化，网络风险不仅是一个威胁，更是企业获取竞争优势和推动业务发展的机会。
2. 风险驱动绩效：企业应将网络安全纳入整体战略，通过风险管理提升业务韧性与绩效。
3. 网络安全需跨部门协作：危机管理涉及多个职能领域，需建立协调机制，包括治理、技术、运营、风险与合规、沟通与纠正。
4. 危机管理生命周期：包括就绪、响应、恢复三个阶段，强调提前准备、快速反应和有效恢复的重要性。
5. 企业应建立安全、警戒和韧性体系：通过识别关键资产、监控威胁、快速恢复等手段，构建全面的网络安全能力。
6. 外部支持与合作至关重要：企业难以独自应对复杂的网络威胁，应考虑外包或合作，借助专业机构提升响应能力。

关键信息

1. 网络安全成熟度评估

企业应通过自我评估工具了解自身的网络安全成熟度，分为高、中、低三个等级，分别对应不同的管理能力和实施水平。

• 高成熟度：具备全面的网络安全框架，有明确的决策机制和战略投资，能有效评估和应对网络风险。
• 中成熟度：部分流程和制度到位，但缺乏系统性和持续性。
• 低成熟度：缺乏战略投入，网络安全工作停留在技术层面，无系统性评估机制。

2. 网络风险治理与责任

• 网络安全不仅是IT部门的责任，而是企业整体治理的一部分。
• 董事会和高管层需对网络风险进行深入理解，形成战略层面的决策与监督机制。
• 企业应建立明确的网络风险上报机制，反映风险偏好和预警阈值。

3. 网络安全投资与绩效评估

• 高成熟度企业将网络安全纳入战略规划，合理分配资源，关注“黑天鹅”事件的预防。
• 企业应定期评估网络风险项目的有效性，并通过内部审计、渗透测试等手段提升整体安全水平。

4. 网络安全文化建设

• 企业应建立以网络安全为核心的企业文化，提升全员风险意识。
• 培训与意识教育应覆盖所有员工、合作伙伴和客户，以减少人为失误带来的风险。

5. 第三方风险管理

• 企业应评估与第三方（如供应商、承包商）的合作关系，并建立相应的控制措施。
• 第三方的网络安全水平直接影响企业的整体网络安全态势。

6. 危机管理三要素

• 安全：保护关键资产，合理分配资源。
• 警戒：持续监控威胁，提升企业对潜在风险的感知能力。
• 韧性：在事件发生后迅速恢复，减少业务、声誉和财务损失。

7. 危机管理生命周期

• 就绪：建立多职能团队，进行模拟演练，确保流程清晰。
• 响应：明确沟通渠道，快速决策，控制事态发展。
• 恢复：恢复业务运营，分析原因，吸取教训，修订政策。

8. 危机管理的五大教训

1. 准备不可替代：通过演练、模拟等手段提升响应能力。
2. 决策影响深远：每一个决定都可能影响企业声誉和利益相关者关系。
3. 快速响应至关重要：在事件发生后，需在几分钟内做出反应。
4. 后续工作不容忽视：包括数据收集、法律合规、保险索赔等。
5. 危机是提升机会：通过有效响应和改进，企业可以变得更强大。

企业应采取的关键行动

• 建立并维护网络安全成熟度，定期进行评估和改进。
• 明确网络安全责任，设立合适的领导团队。
• 定期进行危机模拟与培训，提升响应能力。
• 与外部机构合作，获取专业支持和威胁情报。
• 构建跨职能的危机管理团队，涵盖治理、技术、业务、合规和沟通等方面。

联络信息

• 薛梓源（合伙人，风险咨询）
  电话：+86 10 8520 7315
  邮箱：tonxue@deloitte.com.cn

• 冯晔（合伙人，风险咨询）
  电话：+86 21 6141 1575
  邮箱：stefeng@deloitte.com.cn

• 邓景山（合伙人，风险咨询）
  电话：+86 755 3353 8639
  邮箱：tertang@deloitte.com.cn

• 李卓伟（合伙人，风险咨询）
  电话：+852 2852 1931
  邮箱：thomalee@deloitte.com.hk

• 何晓明（合伙人，风险咨询）
  电话：+86 10 8512 5312
  邮箱：the@deloitte.com.cn

• 施建俊（合伙人，风险咨询）
  电话：+86 21 2316 6953
  邮箱：alexshi@deloitte.com.cn

• 郭仪雅（合伙人，风险咨询）
  电话：+852 2852 6304
  邮箱：evakwok@deloitte.com.hk

德勤全球与大中华区简介

• 德勤是一家全球领先的专业服务机构，提供审计、咨询、风险管理、税务等服务。
• 德勤在中国设有多个办事处，覆盖主要城市，并拥有近13,500名员工。
• 德勤致力于帮助企业提升网络安全能力，推动其成为风险驱动绩效的典范。

结语

文档强调，网络安全是企业战略的重要组成部分，应通过系统性评估、文化建设、跨部门协作和外部支持等方式，构建一个安全、警戒和具有韧性的网络安全体系。只有这样，企业才能在面对不断演变的网络威胁时，实现有效的风险管理与危机应对。