数字安全风险评估的实际应用

数字安全风险评估的实际应用：框架和案例研究库 我NSGHTEPORT 米唉20 图片:盖蒂图片社 内容 1风险评估框架7 2银行的案例研究9 案例研究1信任和安全最佳实践–DTSP框架12 案例研究2人权尽职调查——国民总收入评估19 案例研究3基于系统/结果的方法——新西兰业务守则25 案例研究4安全源于设计–澳大利亚电子安全专员的安全31 设计启动评估工具 案例研究5儿童安全——游戏、沉浸式世界和元宇宙36 案例研究6算法–AI影响评估工具42 免责声明本文发表的 世界经济论坛是对项目、洞察领域或互动的贡献 。本文所表达的调查结果、解释和结论是世界经济论坛推动和认可的合作过程的结果，但其结果不一定 代表世界经济论坛的观点，也不代表其全体成员、合作伙伴或其他利益相关者的观点。 ©2023年世界经济论坛。保留所有权利。不得以任何形式或任何方式（包括影印和录音）或任何信息存储和检索系统复制或传播本出版物的任何部分。 2023年5月 数字安全风险评估在行动: 一个框架和银行的案例研究 前言 MinosBantourakis 头、媒体、娱乐和体育产业,世界经济论坛 大卫·沙利文 数字信任与安全伙伴关系执行董事 凯蒂李 人工智能、数据和元界负责人;第四次工业革命中心;世界经济论坛执委会成员 吉尔·怀特黑德在线安全小组主任，英国办事处通信(Ofcom) 数字世界深刻地影响了我们的生活，彻底改变了我们的生活和工作方式。它使我们能够与来自世界各地的人们建立联系 ，扩大我们的知识视野，并将创新推向前所未有的水平。然而，与任何新领域一样，数字领域也带来了各种挑战，特别是在有害内容和在线行为方面。 世界经济论坛的全球数字安全联盟认识到应对这些挑战的必要性 ，汇集了多元化的领导人，以加快公私合作，以解决有害内容和在线行为。联盟努力的核心是发展 《全球数字安全原则》，强调 有效的风险管理框架对于帮助组织主动营造更安全的在线环境的重要性。 为此，该联盟专注于开发一个跨司法管辖区的基线框架，用于理解和评估数字安全风险。本文代表了这项合作努力的第一个成果，提供了一个全面的风险评估框架，并附有一系列案例研究，展示了该框架的实际应用。这项工作是广泛讨论的结果，涉及广泛的 跨部门和司法管辖区的利益攸关方，使其成为任何对技术、政策和人权交叉感兴趣的人的宝贵工具。 执行概要 全球数字安全联盟是一个独特的公私平台，汇集了 解决有害内容和在线行为问题的关键利益相关者。该联盟认识到，数字世界为世界各地的人们带来了前所未有的连接、学习和创新机会。然而，它也承认这个新世界有其份额。的挑战，特别是在数字安全方面。为了应对这些挑战，联盟已开始了三个工作流程：1） 全球数字安全原则，解决国际人权原则如何转化为数字环境的关键问题，旨在以尊重权利的方式推进数字安全，推动多利益攸关方协调，并在整个数字生态系统中实现积极的行为和行动，2）数字安全设计工具包 干预和创新，制定旨在促进跨平台和跨司法管辖区讨论的“在线危害类型学”，并确定推进数字安全所需的技术、政策、流程和设计干预措施，以及3）风险评估框架，旨在制定跨司法管辖区的基线框架，用于理解和评估数字安全风险。 本文是第三个工作流的第一份成果，提供了一个风险评估框架，并附有大量案例研究，展示了该框架如何在实践中应用。 这项工作是在不断变化的环境中进行的：直到最近，组织还在自愿的基础上进行数字安全风险评估，现在正在提出越来越多的法规 并制定了配置风险评估。该框架借鉴了现有的人权框架 ，企业风险管理最好 实践和不断变化的监管要求，以澄清应该用于澄清数字安全风险的因素，并制定利益相关者应如何评估数字生态系统中这些风险因素的方法。它提出了一种整体方法，将风险与已实现的危害（或不利影响）联系起来，在一个周期性过程中，最终导致良性循环并推动持续改进。它与伤害和服务无关，旨在为所有利益相关者服务。 案例研究强调了现有风险评估框架和方法的多样性和相互关联性，同时证实了主题的复杂性，概述了现有框架的情况。 设计和利用风险评估框架，以及如何在实践中将风险评估框架应用于特定技术、危害类型或服务类型。 本文将由即将出版的三份出版物补充：1）在线危害的类型学：提供通用基础语言的在线危害类别分类 对于多边利益攸关方的讨论，2）风险因素、指标和衡量：确定可能导致不利影响的特征，以及衡量标准或衡量方法 这可以被视为风险评估的一部分，以及3）基于解决方案的干预措施：支持公司利用安全设计原则以及信任和安全最佳实践，朝着更有效的数字风险识别和减少、危害预防、缓解和修复的方向发展。 介绍 有效的风险管理可以帮助组织更加积极主动地营造更安全的在线环境。 产品、服务或政策的特定方面之间的关系及其可能造成的危害 原因或促成因素可能难以评估或预测。 数字服务是全球经济、教育、社会和政治事务的核心。它们推动了世界各国的经济增长和创新，同时在使个人能够享有人权和赋权方面发挥了关键作用。然而，新技术的快速发展和大量的在线活动也给人们、社区和社会带来了持续的风险 。随着人们使用技术的方式不断发展，与在线内容和行为相关的危害以及解决这些问题的潜在措施也将不断发展。在这种情况下，专注于有效的风险管理可以帮助组织更加积极主动地营造更安全的在线环境。 然而，数字安全风险评估仍然是一门新兴且不断发展的学科。数字安全需要一系列复杂的审议，平衡法律、政策、道德、社会和技术方面的考虑。类似的复杂性也适用于危害的性质，危害可能高度因地制宜，也可能因人而异，因不同社区、国家或地区而异 。最后，产品、服务或政策的特定方面与其可能造成或促成的危害之间的关系可能难以评估或预测。 已经存在一系列框架、评估方法和操作指南，以帮助管理复杂的风险。例如，《联合国工商业与人权指导原则》（UNGPs）规定了人权尽职调查程序，包括评估实际和潜在的人权影响，整合并根据调查结果采取行动，跟踪响应并传达如何解决影响。企业风险管理流程虽然通常主要关注公司的商业利益，而不是更广泛的数字安全目标，但同样可以作为一个有用的工具或起点。 直到最近，进行数字安全风险评估的组织都是自愿的，制定和采用自愿框架，如数字信任与安全伙伴关系或奥特亚罗瓦新西兰在线安全和危害行为准则。在提出或颁布的监管制度越来越多的情况下，这种情况正在改变，其中包括有关风险评估的规定。这些可以是广泛的，例如欧盟《数字服务法》下的系统性风险评估，也可以侧重于特定权利（例如数据保护影响评估）、技术（例如欧盟人工智能法案）或弱势群体（例如英国适龄设计规范）。有关专用在线安全风险评估的要求也出现在《澳大利亚在线安全法 》、《新加坡在线安全法案》和拟议的英国在线安全法案等中。 因此，越来越多的组织正在开发和实施数字安全风险管理系统，与《全球数字安全原则》中的承诺保持一致。 创新的、基于证据和风险的数字安全方法;例如，通过进行风险评估”。这种变化通常涉及思维方式的转变，优先考虑安全，并随后围绕这一目标重新调整公司价值观、管理优先事项和业务激励措施。有效的风险管理依赖于整个组织的意识文化和协调行动 ，因此，这些变化可能是广泛的，需要大量资源。然而，从遵守适用的监管制度和有效减轻对获取资本的损害以及提高用户参与度和保留率，好处是显而易见的。 该数字安全风险评估框架借鉴了监管要求和现有最佳实践，为理解和评估数字安全风险提供了高层次的框架。 它提出了一种整体方法，从概念上将风险（潜在的不利影响）与周期性过程中的已实现危害联系起来。这是有害的—— 与服务无关，可供不同规模、规模和成熟度级别的组织利用 。这种整体方法旨在使公司和利益相关者能够采用更一致的数字风险评估方法，同时鼓励行为者在本轮中评估和解决安全风险，包括对用户和非用户的潜在危害以及对不同人权的影响，包括安全、信息获取、言论自由和隐私，等等。风险评估范围内的在线危害概述将在即将发布的在线危害类型学论文中提供。 风险评估框架附有一系列案例研究，说明其在实践中可以运作的各种方式，旨在供利益攸关方使用。这包括在线服务提供商、安全技术和风险情报参与者，或内容审核和服务提供商，如 以及公共部门（政府、监管机构和国际组织）、民间社会（非政府组织（NGO）、教育工作者、青年）和投资者（风险投资家 、初创企业、创始人）。它将由三份即将出版的出版物补充： –在线危害的类型学：在线危害类别的分类和定义为多边利益相关者讨论提供了共同的基础语言。 –风险因素、指标和衡量：识别可能导致不利影响的特征（例如服务功能、用户群或商业模式）以及可被视为风险评估一部分的衡量标准或衡量方法。 –基于解决方案的干预措施：以解决方案为重点的干预措施，支持公司利用安全源于设计原则以及信任和安全最佳实践，转向更有效的数字风险识别、危害预防 、缓解和修复。 1 0识别风险 如何识别、分类和确定风险因素的优先级（包括基于服务类型、用户群、地理位置和数据存储）？ 1降低风险 实施了哪些政策、安全机制和主动工作流程来降低发生或扩散伤害的风险？ 2减少伤害 有哪些机制来报告或发现伤害，以及实施了哪些决策框架和执法工作流程来减轻伤害？ 3修复的伤害 有哪些机制可以修复伤害（包括事后响应管理和申诉机制）？ 4个报告 实施哪些机制来持续衡量和监测危害并解决系统性问题 ？ 记录哪些指标？如何使用报告来推动变革？ 风险评估框架 组织应全面解决安全风险，考虑对用户、非用户和各种人权的影响。 该风险评估框架是多利益相关方小组的产物，旨在作为构建数字安全风险评估方法和讨论的基线框架。 图1风险评估框架 0 治理 4什么组织的方法和1 数字安全问责机制到位？ 如何结合持续改进以使该方法面向未来？组织如何确保专用资源/预算的分配和维护？ 32 数字安全风险评估的实际应用：框架和案例研究库7 图2工作流方法的总体框架–生命周期方法 0 识别风险 核心评估 如何识别、分类和确定风险因素的优先级？ 关键问题:例子 –如何识别与服务和用户群相关的主要风险？ –如何定义和制定政策和相关的用户协议（服务条款、社区标准等）？ –如何通知用户有关策略和更改的信息？ –策略是否与服务在技术堆栈中的角色一致？ –如何评估与您的业务和运营模式相关的固有风险？ –如何评估潜在危害对平台/服务的可能性、流行率、规模、严重程度和影响 ？ –不同的外部利益相关者如何参与识别风险？ 降低风险 1核心评估 平台中嵌入了哪些设计决策或安全机制来降低伤害风险？ 关键问题:例子 –如何做出设计决策或系统实施来降低发生或扩散的伤害风险？ –如何实施自动化系统来检测有问题的内容或行为？ –如何实施主动流程（例如发布前风险评估、现场实验、第三方审计）以降低风险？ –采取了哪些方法和流程来解决 未成年人和边缘化群体的独特保护需求？ –年龄和身份验证机制是否与匿名和言论自由机制相平衡？ –在存储、与第三方共享或用于广告或推荐等商业目的方面，个人数据如何管理？ –如何将资源分配给不同的地理位置和语言？ 减轻伤害 核心评估 有哪些机制来检测平台中的有害内容或行为并对其采取相关措施？ 关键问题:例子 –有哪些流程来检测和删除/暂停/控制违规内容和/或识别违规行为？–如何防止伤害在平台上扩散？ 2–有哪些缓解措施来减少伤害暴露？ 修复的伤害 核心评估 修复损害机制实现什么? 关键问题:例子 –如何识别、升级和确定严重或系统性问题？ 3–有哪些流程可用于处理投诉/上诉，哪些流程提供了支持和指导的途径？ –如何咨询受影响的利益相关者以确保减轻/修复危害？ 报告 4 核心评估 有哪些报告机制来监测损害的影响并解决允许损害再次发生的系统性问题？ 关键问题:例子 –有哪些透明度和问责措施？是否提供内部和公开报告？ –使用哪些关键绩效指标（KPI）和成功指标来衡量缓解措施的有效性（例如 准确性，周转时间）？这些如何用于指导围绕检测和干预的行动？ –有哪些流程可以推动产品和流程改进？这些可以用来识别和解决系统性问题吗？ 数字安全风险评估的实际应用：框架和