核心观点: 网络风险无法通过单一指标理解,其损害程度受攻击压力、组织暴露程度以及损害限制能力共同影响。攻击压力与损害程度关联性最强,而暴露程度在攻击压力大的情况下更为重要。
关键数据:
- 攻击压力和暴露程度共同导致损害程度差异高达3.3倍,在高攻击压力下差异可达30%。
- 不同行业在攻击压力上存在明显差异,而暴露程度的行业差异相对较小。
- 即使在同一行业,组织之间也存在显著的攻击压力和暴露程度差异。
研究结论:
- 理解网络风险需要综合考虑攻击环境、组织暴露程度和损害限制能力。
- 行业可以提供宏观风险趋势的参考,但无法完全解释单个组织的风险状况。
- 网络风险管理需要同时降低暴露程度和提升损害限制能力。
- 研究提出了网络风险定位图,帮助组织更清晰地理解自身风险状况并确定改进方向。