2016年-数据局_德勤：网络风险风险驱动绩效_32页_763kb

网络风险评估与危机管理总结

核心内容

本文旨在帮助企业董事会和高管层理解网络风险的重要性，并引导他们建立有效的网络风险管理体系和危机应对机制。通过评估网络风险成熟度，企业可以识别自身在网络安全性、警戒性与恢复能力方面的现状，从而制定更具战略意义的网络安全计划。

主要观点

• 网络风险不仅是一个威胁，也是一种可以创造价值的机遇。
• 风险管理应成为企业战略的一部分，而不仅仅是技术层面的活动。
• 企业需要从战略、治理、技术、运营、风险与合规、以及纠正与改进六个关键领域协调资源，以应对网络危机。
• 有效的网络风险管理包括安全、警戒和恢复响应三个阶段，这些能力共同构成了企业应对网络威胁的韧性。

关键信息

网络风险成熟度评估

企业应通过评估自身在以下方面的表现，来判断其网络安全成熟度：

1. 风险评估与管理：是否对网络风险进行全面评估、确认归属并进行有效管理？
2. 领导与管理人才：是否有合适的领导和管理人才负责网络安全？
3. 风险上报机制：是否建立了反映企业风险偏好和预警阈值的上报机制？
4. 投资与绩效评估：是否关注并做了正确的投资？如何评价和衡量这些投资的成果？
5. 行业标准与趋势：网络风险工作是否符合行业标准和趋势？
6. 企业文化与意识：是否在全体范围内形成了以网络风险为中心的思维方式？
7. 第三方风险管理：是否采取措施保护企业免于第三方带来的网络风险？
8. 损失控制与资源调动：是否能够遏制损失并调动资源进行应对？
9. 风险管理有效性评估：如何评价企业网络风险管理的有效性？
10. 生态系统中的角色：是否是生态系统中强大且安全的一环？

根据评估结果，企业网络安全成熟度可分为高、中、低三个级别：

• 高成熟度：具备全面的风险管理能力，领导层积极参与，有完善的制度、流程和沟通机制。
• 中成熟度：部分措施到位，但缺乏系统性，对风险的管理仍停留在技术层面。
• 低成熟度：网络安全管理滞后，缺乏制度和流程支持，仅依赖基本的保护措施。

网络危机管理

网络危机管理包括就绪、响应和恢复三个阶段，每个阶段都需要企业具备相应的准备和能力：

• 就绪：建立多职能团队，进行危机模拟和演练，确保企业具备快速反应能力。
• 响应：管理层需快速、协调地应对危机，包括法律、公关、运营等多个方面的沟通。
• 恢复：迅速恢复业务运营，控制损失，并从事件中汲取教训，进行改进。

企业应具备的能力

• 安全：识别关键数字资产，对其实施适当保护。
• 警戒：提升全员对网络风险的认知，建立威胁情报机制。
• 韧性：具备快速恢复和适应能力，减轻事件对业务和声誉的影响。

危机管理的五个教训

1. 准备工作不可替代：定期演练和模拟是有效应对危机的关键。
2. 每个决定都重要：危机中的每一个决策都可能影响企业声誉。
3. 快速响应至关重要：在几分钟内采取行动，可以有效控制局势。
4. 后续工作不能忽视：危机结束后仍需处理法律、财务、保险等事项。
5. 危机是提升机会：通过有效响应和后续改进，企业可以变得更强大。

企业应采取的行动

• 设定清晰的网络安全战略目标，考虑成本、时间和业务需求。
• 建立跨职能的危机响应团队，确保治理、战略、技术、运营、合规、改进等方面协调一致。
• 加强与外部机构（如监管、执法、同行）的信息共享和合作。
• 定期进行网络风险评估、培训、演练和制度更新。

联络人信息

德勤全球与大中华区简介

• 德勤为全球企业提供审计、咨询、风险管理、税务等服务，拥有广泛的成员所网络。
• 德勤大中华区在多个城市设有办事处，提供本地化服务。
• 德勤中国自1917年在上海设立办事处以来，持续为中国企业提供专业服务。

结论

网络风险和危机管理已成为企业战略和运营中不可忽视的重要部分。企业应将网络安全视为驱动绩效的工具，而非仅作为威胁。通过提升网络风险成熟度、建立全面的危机管理体系、培养风险文化，企业可以有效降低风险带来的负面影响，同时抓住数字化转型带来的机遇。