您如何估算安全漏洞的成本？

Question

我是一名学生，对IT安全领域相当陌生。大多数文章和书籍说，只有当漏洞的成本高于修补漏洞的成本时，才应该修补漏洞。然而，我找不到任何解释，至少可以给我一些基本知识和技能，在这个问题上。

• 您如何估算安全漏洞的成本？
• 如何估算修补漏洞的成本？

Answer 1

作为一名安全专业人员，通常最好将这一计算“外包”给企业。例如，如果您确定了一个漏洞，您可以证明该漏洞很容易被非熟练攻击者利用来破坏客户数据库，而操作团队估计从备份中将其恢复将需要4个小时，包括检查，询问业务所有者这对他们的成本或影响意味着什么。

企业应该对客户为避免公司而产生的间接成本有一个看法，并在广告中抱怨以恢复信心。

一旦他们告诉你成本，你的一方--帮助定义保护--要容易得多，就像@growse说的那样。

然而，这个等式通常不适用于一对一的情况。你可能会认为，如果违约成本高于修复成本，那么就进行修复工作，但更常见的是，我们会看到，如果违约成本超过修复成本的10倍，那么就进行补救。

Answer 2

我认为要回答这个问题，你需要对你想要保护的资产的价值有一个坚实的理解。如果我们将信息安全视为提供机密性、完整性和可用性(CIA)，那么如果这些保证受到破坏，我们也可以尝试确定组织的成本。

C:考虑到某些专有信息的价值，如果披露了这些数据，请使用它来估算成本。

I:给定某些操作数据的值，如果该数据在一段时间内未经检测就被恶意(或意外)修改，则使用该值来估计操作的潜在损失或中断。

答:考虑到一项服务(如电子商务网站)带来的收入，或者一个系统(例如内部电子邮件系统)所提供的生产力，用它来估计如果服务或系统在一段时间内下降会造成什么财务损失。如果您知道服务中断可能持续多长时间才能被识别和纠正，这会有所帮助。

正如其他人所提到的，我建议让您的企业中的数据和服务所有者参与进来，以帮助计算更好的价值估计。不仅你的结果更准确，更有意义，而且你也会在这个过程中增加管理层的认受。

Answer 3

总之，这并不容易。

几乎所有的IT安全决策都应该在“业务”试图做什么的背景下做出(当我说“业务”时，我的意思是“人们为系统付费并从中赚钱”--通常指企业)。

要估计事故的成本，您必须权衡所有与恢复系统正常运行相关的成本。如果你的整个客户数据库被盗，然后被删除，那么在停机、监管罚款(如果你的政府认为你没有正确保护数据的话)、客户声誉等方面可能会造成很大的成本。显然，不同事件的成本可能大相径庭。

减少漏洞的成本通常更容易计算出来，这只是你必须购买的东西的数量+执行控制和运行流程所需的时间。如果你需要雇佣一个额外的全职人员来工作一个特定的控制(例如IDS)，这是相当大的成本，与如果你不实施控制可能发生的事件相比，这可能是不值得的。

希望这是有意义的。