6、安全投资经济价值沟通：安全风险价值

安全投资经济价值沟通：安全风险价值

1. 引言与问题情境

信息和数据安全领域的从业者在向管理层或资金提供方传达充分投资信息和数据安全的重要性及相关性时，长期面临困难。这主要是因为安全领域高度专业化，具有商业管理或经济学背景的普通管理者难以深入理解。以往常用投资回报率（RoI）来评估，但它并非理想指标，容易产生误解和误判。金融人员和管理者通常将安全投资视为成本或费用，RoI 实际上是每花费一货币单位因安全漏洞而预期避免的净损失概率。

企业已有表达风险水平及其经济后果的工具和指标，如风险价值（VaR）及类似指标。我们的目标是引入“安全风险价值”（VaSR），将信息和数据安全领域使用的实体和指标转化为类似风险价值的实体和指标，为管理层的安全投资决策提供更坚实、更合理的依据。

2. 背景与预备知识

2.1 均值实体

• 威胁 T(t) ：时间 t 时单位时间内的（安全）攻击次数。
• 脆弱性 V(t) ：时间 t 时攻击成功的概率。
• 漏洞损失 λ(t) ：时间 t 时成功攻击造成的经济损失。
• 单位时间潜在损失 ：时间 t 时为 T(t)λ(t)；在投资期 (tj; tj + 1) 内的潜在损失为 (PL(t_j; t_{j + 1}) = \int_{t_j}^{t_{j + 1}} T(\tau)\lambda(\tau)d\tau)。
• 单位时间安全风险