行动中的数字安全风险评估：框架和案例研究

数字安全风险评估在行动: 一个框架和银行的案例研究 我NSGHTEPORT MY2023 图片:盖蒂图片社 内容 前言3 执行概要4 介绍5 1风险评估框架7 2银行的案例研究9 案例研究1信任和安全最佳实践–DTSP框架12 案例研究2人权尽职调查——国民总收入评估19 案例研究3基于系统/结果的方法——新西兰业务守则25 案例研究4设计安全–澳大利亚电子安全专员的安全31 设计启动评估工具 案例研究5儿童安全——游戏、沉浸式世界和元宇宙36 案例研究6算法–AI影响评估工具42 结论46 贡献者47 尾注49 免责声明本文发表的 世界经济论坛是一个贡献一个项目,了解区域或交互。结果,解释和 结论表示这是一个结果的帮助和协作过程 了世界经济论坛的支持但其结果不一定 代表世界经济的观点 论坛,也不是其成员的整体, 合作伙伴或其他利益相关者。 ©2023世界经济论坛。所有权利保留。没有这个出版物的一部分被复制或以任何形式传播 或通过任何方式,包括复印和记录,或任何信息 存储和检索系统。 2023年5月数字安全风险评估在行动: 一个框架和银行的案例研究 前言 MinosBantourakis 头、媒体、娱乐 &体育产业, 世界经济论坛 大卫·沙利文 执行董事、数字的信任 &安全伙伴关系 凯蒂李 头,人工智能,数据和Metaverse;第四工业中心 革命;的成员 世界经济论坛执委会 吉尔怀特黑德网络安全组 英国办公室主任通信(Ofcom) 数字世界深刻地影响了我们 生活，彻底改变我们的生活和工作方式。它有使我们能够与来自世界各地的人们建立联系世界各地,扩大我们的视野和知识 将创新推向前所未有的水平。然而与任何新领域一样，数字领域已经也提出了不同的挑战,特别是 关于有害内容和在线行为。 认识到需要解决这些挑战,世界经济论坛的全球联盟 数字安全将多元化的群体聚集在一起领导人加快公私合作 处理有害内容和在线行为。中央联盟的发展所做的努力 《全球数字安全原则》，强调 一个有效的风险管理的重要性帮助组织主动培养 更安全的网络环境。 为此，联盟专注于发展一个跨管辖基准框架 理解和评估数字安全风险。本文是第一个输出 协同努力，提供全面风险伴随着银行评估框架 的案例研究演示框架的 实际的应用程序。这项工作的结果吸引广泛的广泛讨论 跨行业和司法管辖区的利益相关者，使对于任何对 技术、政策和人权的交叉点。 执行概要 全球数字安全联盟是一个独特的公私合作平台,汇集了 有害的关键利益相关者来解决这个问题在线内容和行为。联合政府 认识到数字世界带来了 为全世界的人前所未有的机遇连接,学习和创新。然而,它也承认这个新的世界有其份额 的挑战，特别是在数字安全方面。为应对这些挑战,联合政府 开始了三个工作流:1)全球数字安全原则,解决 国际人权如何的关键问题原则转化为数字环境，旨在 推进数字rights-respecting安全方式,推动多方参与对齐和启用整个数字领域的积极行为和行动 生态系统,2)数字安全设计的工具包干预和创新，发展“类型学” 的在线危害“，旨在促进跨平台和跨司法管辖区讨论，并确定什么技术,政策,流程和设计 需要干预措施来推进数字安全， 3)风险评估框架,旨在 开发一个跨管辖的基本框架 用于了解和评估数字安全风险。 本文是第一个第三的输出一工作流程,提供风险评估框架伴随着银行的案例研究展示框架如何 在实践中应用。 这项工作在一个不断发展的景观:直到最近，组织还在进行数字化自愿进行安全风险评估，现为越来越多的规定被提出 和制定供应风险评估。这框架利用现有的人权企业风险管理框架,最好实践和发展的监管要求澄清应该用来澄清的因素数字安全风险并制定方法 利益相关者应该如何评估这些风险因素在数字生态系统。它提出了一个整体方法链接并意识到危害或风险 不利影响–在周期性过程中，最终导致良性循环，持续驱动 改进。这是伤害和service-agnostic,旨在为所有的利益相关者服务。 的案例研究强调多样性和联系现有的风险评估 框架和方法而充实主题的复杂性,提供现有框架的概述 设计和杠杆和风险评估 到一个特定的框架可以应用于实践技术、伤害类型或类型的服务。 本文将以三个作为补充 即将出版的出版物:1)类型学的在线危害:在线危害类别的分类 提供一个共同的基本语言 多边利益相关者的讨论,2)风险因素,指标和测量:识别 可能导致不利因素的特征影响,指标或测量方法 可被视为风险评估的一部分，和3)为基础的解决方案措施:支持公司政策转向更有效的数字 风险识别与降低，危害预防，缓解和修复，利用安全源于设计原则和信任和安全最佳实践。 介绍 有效的风险管理可以帮助组织更积极的和有效的 在促进一个更安全的网络环境。 的关系在特定的方面的 产品、服务或政策和伤害他们原因或贡献 来是很困难的评估或 预测。 数字服务经济的核心,教育、社会和政治事务全球。推动经济增长和全球创新国家而玩 在赋能和赋权个人方面的关键作用享受他们的人权。然而,快速 节奏的新技术和发展 在线活动也产生的巨大的体积连续风险的人,社区和 社会。人们使用技术的方式继续发展,所以将相关的危害具有在线内容和行为以及潜力 措施来解决这些问题。在这种背景下,关注有效的风险管理可以帮助 组织更积极的和有效的 培养一个更安全的网络环境。 然而，数字安全风险评估仍处于萌芽阶段以及不断发展的纪律。数字安全需要审议范围复杂，平衡法律， 政策、道德、社会和技术考虑。 类似的复杂性也适用于危害的性质，可以高度当地或特定于上下文的吗不同在不同的社区,国家或 地区。最后，具体关系方面的产品,服务或政策和伤害他们可能引起或导致很难评估或预测。 一系列的框架,评估方法 和操作指南已经存在的帮助管理复杂的风险。例如,美国国家指导原则在商业和人类权利(UNGPs)提出了一个人权勤奋的过程,包括评估实际人权和潜在影响,整合 和代理发现,跟踪反应 和交流的影响是如何解决的。企业风险管理流程,同时 通常主要关注公司的业务 利益而不是更广泛的数字安全目标，同样可以作为一个有用的工具或起点。 直到最近，从事数字化的组织 安全风险评估是自愿进行的，制定和采用自愿的框架等 数字信任与安全伙伴关系或奥特亚罗瓦新西兰为网络的安全守则 和危害。现在这种情况正在改变，在越来越多的监管制度 被提议或颁布，其中包括条款在风险评估。这些可以广泛,在欧盟的系统性风险的评估 《数字服务法》，或关注特定权利（例如数据保护影响评估),技术 （例如欧盟人工智能法案）或易受攻击团体(例如英国适龄设计代码)。 要求在专门的网络安全风险在线评估也出现在澳大利亚 安全法，新加坡在线安全法案和英国网络安全法案。 因此,越来越多的组织发展和实现数字安全风险管理系统调整的承诺 全球数字安全原则“拥抱 基于证据和风险的创新方法数字安全;例如，通过承担风险 评估”。这种变化通常涉及一种心态转向优先考虑安全并随后努力 调整公司价值观、管理重点和 围绕这一目标的商业激励措施。有效风险管理依赖的文化意识 在一个组织和协调行动, 因此,这些变化可以广泛需要 重要资源。然而，好处是显而易见的，从遵守适用的监管制度和 有效减轻对获得资本的损害提高用户粘性和保留。 这个数字安全风险评估框架 借鉴法规要求和现有的最佳性能实践提供一个高层的框架 理解和评估数字安全风险。 它提出了一个概念上的整体方法 将风险（潜在不利影响）联系起来，以及意识到危害的循环过程。这是伤害, 和service-agnostic可以利用 不同规模、规模和成熟度的组织水平。这种整体方法旨在允许公司和利益相关者采取更多 一致的数字风险评估方法，同时鼓励演员安全评估和地址 回合中的风险，包括潜在的危害在用户和非用户和影响 不同的人权，包括安全、获得信息、言论自由和隐私 等等。网络危害的概述风险评估将提供的范围 即将到来的类型学的网络危害纸。 伴随着一系列的案例研究说明它可以在 实践，风险评估框架旨在 供利益相关者使用。这包括在线服务供应商、安全技术和风险情报参与者，或内容节制和服务提供商 以及公共部门（政府、监管机构）和国际组织）、民间社会（非 政府组织(ngo),教育者, 青年）和投资者（风险投资家（VC），创业公司 ups,创始人)。它将由三个补充即将出版的出版物: –类型学的网络危害:分类和 提供一个定义的网络危害类别常见的多边的基本语言 利益相关者的讨论。 –风险因素,指标和测量:识别的特征 导致不利影响(如服务功能,用户或业务模型)和指标或测量方法 可以被认为是风险评估的一部分。 –为基础的解决方案干预措施:解决方案-主要干预措施来支持公司 政策转向更有效数字的风险识别、预防、减缓和伤害修复,利用安全设计原则 和信任和安全最佳实践。 1风险评估框架 组织应该解决安全风险全面,考虑到影响 用户,非用户和各种人权。 该风险评估框架是多利益相关方小组的产物，旨在作为构建数字安全风险评估方法和讨论的基线框架。 图1风险评估框架 0 治理 4什么组织的方法和1 问责机制 对数字安全吗? 如何持续改进将不会过时的方法? 组织如何确保专用的配置和维护 资源/预算吗? 32 0识别风险 1降低风险 2减少伤害 3修复的伤害 4个报告 是如何风险因素 什么政策,安全 什么机制是 有什么机制 机制是什么 识别,分类 机制和 在的地方报告或 来修复的伤害(包括 实现测量 和优先(包括 积极主动的工作流程 检测伤害, 事后的反应 和监控伤害在一个 基于类型的服务, 是实现的 决策 管理和 正在进行的基础和修复 用户群,地理位置和数据存储)? 减少伤害的风险发生或 框架和执行工作流 上诉机制)? 系统性问题?什么指标是 扩散? 是实现的 记录?如何报告 减轻了吗? 用于驱动器改变? 数字安全风险评估在行动:一个框架和银行的案例研究7 图2工作流方法的总体框架–生命周期方法 0 识别风险 核心评估 是如何风险因素识别,分类和优先? 关键问题:例子 –与服务和用户相关的主要风险如何基本确定了吗? –政策和相关用户协议如何（条款服务、社区标准等）定义和出发？ –固有风险与您的业务和运营有何关系模型评估? –可能性、患病率、规模、严重程度和影响如何评估的平台/服务的潜在危害？ –如何通知用户有关政策和更改的信息？–不同的外部利益相关者如何参与 –策略是否与服务在技术堆栈? 降低风险 1核心评估 什么设计决策或安全机制嵌入到平台吗减少伤害的风险? 关键问题:例子 –设计决策或系统实施情况如何 为降低伤害发生的风险而采取的举措或扩散? ——自动化系统是如何实现检测 识别风险? 不同的维护未成年人的需要边缘化群体? –年龄和身份验证机制是否与匿名机制和言论自由吗? 有问题的内容或行为?–如何在存储、共享方面管理个人数据 –如何主动流程（例如发布前风险）评估、现场实验、第三方审核）放 与第三方共享或用于广告等商业目的或建议吗? 来降低风险?–如何将资源分配到不同的地理位置 –采取了哪些方法和流程来解决 减轻伤害 核心评估 什么机制来检测有害内容或行为在平台中并对其执行相关操作？ 关键问题:例子 2 –检测和 删除/暂停/关闭违规内容和/或识别违犯的行为吗? 和语言吗? –如何防止伤害在平台上扩散？ –有哪些缓解措施来减少暴露伤害? 修复的伤害 核心评估 什么机制实现修复的伤害? 关键问题:例子 3 –如何识别、升级严重或系统性问题和优先? –有哪些流程可用于处理投诉/上诉，哪些提供了支持和指导的途径？ 报告 4 核心评估 什么报告机制来监控的影响的伤害和解决系统问题允许伤害再次发生? 关键问题:例子 –采取了哪些透明度和问责措施？内部和公共报告可用吗? –哪些关键绩效指标（KPI）和成功指标用于衡量缓解措施的有效性（例如 –如何咨询受影响的利益相关者以确保伤害减轻/修理吗? 准确性，周转时间）？如何使用这些来指导检测和干预行动? –有哪些流程来驱动