预算被削减20%时的安全投入取舍与风险接受机制
某中型汽车零部件制造企业有员工3,200人,两年前通过ISO/IEC 27001认证,设有信息安全委员会,由分管生产的副总裁任主任,CISO向CIO汇报。安全团队共9人,其中3人负责日常运维,没有专职的风险分析人员。上一年度共记录4起钓鱼邮件导致的账号泄露和2起未遂勒索软件事件,其中一起造成某车间停线约6小时,直接损失估计180万元。新财年CFO要求信息安全预算在1,200万元的基础上削减20%,但明确不削减等级保护三级测评和年度渗透测试这两项合规支出。安全部门提交的预算大致为:安全运营中心外包监控300万元、终端检测与响应250万元、员工安全意识培训60万元、特权账号管理与堡垒机180万元、漏洞扫描与渗透测试90万元、等级保护测评与合规80万元、异地备份副本140万元,其余为设备维保与杂项。公司《信息安全风险管理程序》规定高风险由CISO批准接受、重大风险由CEO批准接受,但实际执行中风险接受几乎全部由安全部门自己记入台账。制造部门同时要求年内上线新的MES系统,需要安全评审。预算评审会将在两周后召开,CIO希望方案既能满足CFO的指标,又不至于在董事会上被质询。
1. 在两周内制定削减方案,你会按什么逻辑排序取舍?请给出具体的保留项、可压缩项以及判断依据。
Read the worked answer
核心原则是按风险削减,而不是按比例平均削减。第一步把每个预算条目映射到具体风险场景和损失量级:已有数据是一次停线6小时损失约180万元,若勒索成功导致全线停产3天,损失可达千万级。凡是降低“高可能性×高影响”的控制项优先保留。
优先保留或加强:
- 异地备份副本(140万元):勒索场景下唯一可靠的恢复手段,不应削减,反而应要求增加不可篡改/离线副本和季度恢复演练。
- 特权账号管理与堡垒机(180万元):横向移动的主要通道,且直接关系到等保三级身份鉴别与访问控制要求。
- 终端检测与响应(250万元):可改为按服务器和关键终端分级授权,压缩20%~30%的许可费用,但不建议取消。
- 安全意识培训(60万元):性价比最高的钓鱼防护,可改为线上课程加季度钓鱼演练,金额不降甚至略增。
可压缩项:
- 漏洞扫描工具续费与外部渗透测试范围:保留合规必需部分,把全量扫描改为季度重点资产扫描。
- SOC 7×24外包监控:降为5×8加关键告警自动升级,但夜间无人值守的风险必须书面评估并由业务方接受。
不能削减:等保测评与整改属于法律义务,削减等于用合规风险换预算。
最后必须输出“削减后剩余风险清单”,逐条写明风险描述、可能损失、责任部门和建议接受人,提交CFO/CEO签字,而不是由安全部门自行消化。
2. 结合该企业现状,评价“高风险由CISO接受、重大风险由CEO接受”这一机制,并给出可落地的改进措施。
Read the worked answer
现行机制的问题有三点:
- 只有批准人,没有分级标准。制度没有定义什么算“高风险”、什么算“重大风险”,缺少量化门槛,导致无法判断该由谁签字,实际执行中退化为安全部门自己记录。
- 风险所有者缺位。风险应由业务所有者承担,安全部门只有识别、评估和建议权。现在安全部门既做评估又做接受,既当运动员又当裁判员,一旦出事无法追责,业务部门也没有动力配合整改。
- 没有期限和复核。一次接受往往变成永久豁免,业务或威胁变化后无人重新评估。
改进措施:
- 建立三维分级标准:财务损失(如50万元以下/50万~500万元/500万元以上)、合规影响(是否违反法律或合同义务)、安全影响(是否可能导致大规模数据泄露或停线),打分后映射到部门负责人/CISO/CEO/董事会的接受权限。
- 风险登记册记录风险描述、评估依据、现有控制、剩余风险、接受人、接受期限(如6个月)与复核日期。
- 重大风险的接受必须由业务所有者提出申请,安全部门出具书面意见,到期或业务变更时重新评估。
- 每季度向信息安全委员会报告“接受中的风险清单”,让委员会实质审议而非走形式,这也满足ISO/IEC 27001对剩余风险可接受性的要求。