RCVaR: an Economic Approach to Estimate Cyberattacks Costs using Data from Industry Reports
تقدم هذه الورقة إطار عمل اقتصادي مبتكر يُسمى RCVaR، يستفيد من بيانات واقعية مستمدة من التقارير الصناعية لتقديم تقديرات نقدية دقيقة خاصة بكل شركة لتكاليف الهجمات السيبرانية، مما يعزز استراتيجيات إدارة المخاطر للشركات بجميع أحجامها.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك تملك كشكاً لبيع الليمون. أنت تعلم أن هناك خطراً من أن يسرق شخص ما ليمونك أو يقلب طاولتك. ولكن كم يجب أن تنفق على قفل، أو حارس أمن، أو مظلة؟ إذا أنفقت القليل جداً، فستخسر كل شيء. وإذا أنفقت الكثير جداً، فستفلس بسبب شراء حماية لم تكن بحاجة إليها.
بالنسبة للشركات الكبرى، هذا هو نفس المشكل، ولكن مع الهجمات السيبرانية بدلاً من سرقة الليمون. هم بحاجة لمعرفة: "كم سيكلفنا الهجوم السيبراني هذا العام؟"
تقدم هذه الورقة أداة جديدة تسمى RCVaR (القيمة الحقيقية المعرضة للخطر السيبراني) للإجابة على هذا السؤال. إليك التفصيل البسيط:
١. المشكلة: التخمين في الظلام
حالياً، تحاول معظم الشركات تخمين تكاليفها السيبرانية باستخدام المحاكاة (مثل لعب لعبة فيديو حيث تتظاهر بأنك تعرضت للاختراق) أو عبر توظيف خبراء باهظي الثمن لوضع أرقام من خيالهم.
- المشكلة: هذه التخمينات غالباً ما تكون خاطئة لأنها تعتمد على سيناريوهات "ماذا لو" بدلاً من "ما حدث بالفعل". الأمر يشبه محاولة التنبؤ بالطقس من خلال النظر إلى خريطة للسحب من قبل ١٠ سنوات بدلاً من النظر من النافذة.
- النتيجة: الشركات الصغيرة والمتوسطة (SMEs) تعاني بشكل خاص لأنها لا تستطيع تحمل تكاليف الخبراء الباهظة، مما يتركها تعمل دون رؤية واضحة.
٢. الحل: RCVaR (تقرير "طقس العالم الحقيقي")
ابتكر المؤلفون RCVaR، وهي طريقة تتوقف عن التخمين وتبدأ في النظر إلى البيانات الحقيقية.
بدلاً من محاكاة عاصفة، ينظر RCVaR إلى الأمطار الفعلية التي هطلت بالفعل. إنه يبحث في آلاف الصفحات من التقارير العامة الصادرة عن شركات استشارية كبرى (مثل Accenture وIBM وKaspersky) التي أجرت مقابلات مع آلاف الشركات حول مقدار الأموال التي خسروها فعلياً بسبب المخترقين.
فكر في الأمر كالتالي:
- الطريقة القديمة: "أعتقد أن إعصاراً قد يضرب منزلي. لنخمن أنه سيكلف ٥٠,٠٠٠ دولار."
- طريقة RCVaR: "لننظر إلى تقارير أضرار الأعاصي خلال السنوات العشر الماضية للمنازل التي تشبه منزلك تماماً. نرى أن المنازل في حيك تخسر عادة حوالي ٤٥,٠٠٠ دولار، ولكن إذا كان لديك سقف ضعيف، فقد تصل التكلفة إلى ٨٠,٠٠٠ دولار."
٣. كيف يعمل: "وصفة" التكلفة
تأخذ أداة RCVaR تفاصيل شركتك الخاصة وتخلطها مع بيانات العالم الحقيقي باستخدام وصفة خاصة (صيغة رياضية).
- الخطوة ١: حجم المنزل (التقييم): ناطحة سحاب كبيرة تكلف إصلاحها أكثر من كوخ صغير. ينظر RCVaR إلى قيمة الشركة (مثل قيمتها في السوق) لتوسيع نطاق التكلفة.
- الخطوة ٢: الموقع (الدولة والقطاع): كونك بنكاً في الولايات المتحدة أكثر خطورة من كونك مخبزاً في فرنسا. تقوم الأداة بتعديل التكلفة بناءً على مكان تواجد الشركة ونوع نشاطها.
- الخطوة ٣: الإجراءات الأمنية (المكونات): هل قامت الشركة بتركيب إنذار جديد؟ هل يقوم الموظفون بالتدريب؟ تقوم الأداة بتعديل التكلفة صعوداً أو هبوطاً بناءً على هذه "المكونات".
- الخطوة ٤: "الذيل الثقيل" (المفاجأة الكبرى): وجدت الورقة أن التكاليف السيبرانية لا تتبع منحنى جرس طبيعي. معظم الهجمات تكون صغيرة، لكن القليل منها يكون كوارث هائلة (مثل الاختراقات الضخمة). يستخدم RCVaR شكلاً رياضياً خاصاً (يسمى توزيع "Generalized Inverse Gaussian") يأخذ في الاعتبار هذه الكوارث النادرة والكبيرة، مما يضمن عدم تقدير الشركات لأسوأ السيناريوهات بأقل من قيمتها.
٤. النتيجة: "بطاقة سعر" للمخاطر
عندما تضع معلومات الشركة في أداة RCVaR عبر الويب، فإنها تعطيك رقمين:
١. التكلفة المتوقعة: متوسط المبلغ الذي من المرجح أن تخسره هذا العام.
٢. RCVaR (شبكة الأمان): المبلغ الذي قد تخسره في سنة سيئة (بثقة ٩٥٪).
التشبيه:
تخيل أنك تشتري تأميناً للسيارة.
- التكلفة المتوقعة: "في المتوسط، ستخدش سيارتك مرة واحدة في السنة، بتكلفة ٢٠٠ دولار."
- RCVaR: "ولكن إذا تعرضت لحادث كبير، فقد تخسر ٢٠,٠٠٠ دولار. لذا، يجب أن يكون لديك على الأقل ٢٠,٠٠٠ دولار في مدخراتك (أو التأمين) لتكون آمناً."
٥. لماذا هذا مهم؟
- لا مزيد من "الصناديق السوداء": لست بحاجة إلى دكتوراه في الرياضيات أو ميزانية تقدر بالملايين لاستخدام هذا. إنها أداة ويب مجانية يمكن لأي شخص استخدامها.
- قرارات أفضل: إذا قالت الأداة: "من المرجح أن تخسر ١٠٠ ألف دولار، لكن ميزانية الأمن السيبراني لديك هي ١٠ آلاف دولار فقط"، سيعرف المدير أنه يحتاج لإنفاق المزيد من المال قبل وقوع الهجوم.
- بيانات حقيقية، وليست تخمينات: إنها تستخدم تقارير فعلية من العالم الحقيقي، مما يجعل التوقعات أكثر موثوقية بكثير من ألعاب المحاكاة القديمة.
ملخص
تجادل الورقة بأنه لا ينبغي لنا محاولة التنبؤ بالمستقبل عبر إغلاق أعيننا والتخمين. بدلاً من ذلك، يجب أن ننظر إلى تاريخ ما حدث بالفعل لشركات مماثلة. RCVaR هو حاسبة تأخذ تقارير الكوارث من العالم الحقيقي، وتخلطها مع تفاصيل شركتك المحددة، وتخبرك بالضبط بمقدار الأموال التي يجب أن تخصصها للنجاة من هجوم سيبراني. إنها تحول الأمن السيبراني من لغز مخيف إلى مصروف تجاري يمكن إدارته.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.