在網絡安全風險領域，我們經常遇到與企業語言不通的問題。這可能導致網絡安全風險管理計劃得不到支持。當發現網絡安全風險時，困難在于以符合組織語言和目標的方式來表達它。

第三方風險屬于另一個灰色地帶。在組織內部，許多利益相關者（通常還有許多流程）都參與制定第三方風險管理 (TPRM) 方法（包括治理、流程和工具）。由于 TPRM 涉及大量工作，風險報告通常充滿困難，甚至連主題專家也難以分析和識別風險，然后清楚地報告風險。

如果您從事第三方或網絡安全風險工作，那么您就是風險專業人士。因此，您的工作就是識別和分析風險。但為了最大限度地提高效率和成功率，風險評級和跟蹤風險至關重要。您需要推動風險處理決策和風險的最終補救。相反，任何可接受的風險都必須有據可查，并根據風險級別和既定程序進行定期審查。

第三方和網絡安全風險實踐的最終目標是管理風險并保護組織的資產。完善的計劃使風險從業者能夠積極推動積極變革。

識別和評估風險

無論是第三方風險還是網絡安全風險，首要任務都是發現風險。在這些角色中，發現是常態，也是整個流程的基礎。當前的問題通常是風險過大，因此需要了解風險水平，以便確定風險的優先次序。

風險評級通常以可能性與影響的網格形式顯示。通常，組織會將風險評級系統應用于其他業務領域。這為將您的流程與既定定義聯系起來創造了絕佳機會。有時，這需要與企業風險職能部門建立合作關系；有時，則需要與其他利益相關者或部門合作評估風險。在這些范圍內工作時，必須定制定義以涵蓋所有風險管理計劃。所使用的可能性指標可能與闡明網絡安全或第三方風險并不完全一致；在這些情況下，一個很好的解決方案是構建一個附加定義列表，以說明什么構成了某個可能性分數。相同的方法可以應用于影響的定義。例如，企業可能對受影響的記錄數量感興趣，但可能沒有考慮受影響的服務器數量或哪些供應商可以訪問您的數據湖。

這些定義主要是定性的，需要進行解釋，但越能涵蓋有意義的指標，就越容易獲得一致的測量結果。影響和可能性評級的結果是計算風險級別的因素。同樣，了解組織其他地方使用的風險級別也很重要；無論是低、中、高還是其他一組術語，您都應盡可能統一術語。如果銷售團隊可以將“高風險”金融交易等同于具有與高風險供應商或漏洞相同的嚴重性或影響力，這將幫助您闡明風險處理決策的重要性。

當面臨眾多風險時，人們傾向于優先考慮風險評分最高的風險，即可能性和影響組合最高的風險。這是正確的做法，但制定應對其他風險的計劃至關重要。幸運的是，有許多工具可以幫助跟蹤網絡安全風險。人們很容易看到低風險列表，并認為它們不重要，因為它們被標記為低風險。這種心態的問題在于，它們仍然是風險。如果風險一年內得不到處理，必然會影響出現問題的可能性。因此，建議將基于風險評分的風險處理時間框架編入政策并應用于所有風險（這可能是另一個需要定義財務、運營、第三方、網絡安全和其他風險之間差異的領域）。一旦違反該時間框架，風險也將成為政策例外，網絡安全風險應記錄在案，導致由于不遵守組織政策而導致影響分數增加。

風險處理、補救和驗收

主動風險管理的一個重要部分是確定風險所有者。風險所有者是風險的責任人，因此，也是負責適當確定風險處理優先級的人。建議風險所有者盡可能擔任經理，以便他們能夠將風險處理納入戰略規劃。風險專業人員應與風險所有者合作，協助決策，并闡明滿足處理既定時間表的重要性。

處理計劃應清晰明確且可行。如果某個風險所有者有多個風險，則每月與風險經理舉行會議可能很合適。這將有助于確保溝通渠道暢通，并有助于將風險處理放在首位。

有些風險可以接受，但仍需要跟蹤和審查。我們生活在一個不斷變化的商業和技術世界中，因此今天無法處理的風險可能在一年后就有資格得到補救。管理層必須意識到并簽署任何風險接受。

利益相關者需要明白，風險接受不是一個“設定好然后忘掉”的過程。它是一個活生生的過程，就像任何與風險相關的事物一樣。

表達和報告風險

在確定、評估風險并制定處理計劃后，您現在擁有一份更有條理的風險清單。為了幫助進行風險問責，必須向正確的利益相關者進行相關報告。當然，應該報告影響最大的風險，但適用于 CIO 的風險可能與 CFO 不那么相關。除了相關性之外，還應考慮其他因素，例如風險存在的時間以及受影響的業務線、產品或業務流程的數量。

一旦風險被整理出來，就需要向適當的團隊和相應的管理層報告。根據利益相關者的不同，這可以采取每月、每季度或任何其他定期會議的形式。應該有一個可以訪問以查看風險及其狀態的中央儀表板，但召開會議可以有機會強調某些領域和趨勢并確保更高水平的責任感。

網絡安全和第三方風險都是風險管理總體動態領域的一部分。這兩個過程都不??應被視為獨立過程，而應被整合在一起。

綜合風險管理流程可能非常復雜，需要進行大量調查和分析。因此，明確闡述這項工作并利用它推動組織內部的積極變革非常重要。通過與業務部門使用相同的語言，風險專業人員可以更輕松地展示與業務部門的一致性并獲得風險處理方面的支持。