ISACA 发布安全债指数模型：赋能组织量化整体债务态势，优化风险治理决策

随着企业加速上云和采用人工智能，安全债，也就是系统老旧、修复延迟、补丁未打、资源投入不足等长期累积形成的网络风险，正成为影响企业韧性的最大威胁之一。

未打补丁的系统、薄弱的身份与访问管理、各自为政的监控与告警机制、治理与监督上的缺口……这些典型的安全债务，足以让企业在运营、财务、声誉乃至战略层面承受巨大损失。

针对这一挑战，ISACA近日发布白皮书《安全债：侵蚀网络韧性的隐形成本》，系统梳理了安全债的类型、主要成因、生命周期及影响，并提出一项全新的量化工具——安全债指数模型SDI。

该模型旨在与现有风险评级体系配合使用，为企业提供一个综合评分，用于判断整体债务状况是好转还是恶化，从而为决策提供方向性参考。持续使用该模型，企业可以识别出债务变化的趋势，在不同系统、不同团队或不同时间段之间进行比较，并将资源优先投入到那些既具重大影响又在加速累积的风险点上。

SDI 模型从以下三个维度进行评估，每个维度均采用归一化评分:

• 严重性：每项问题对业务的实际影响

• 存续时长：该债务未被解决的时间长度

• 新增速度：同类新问题出现的快慢程度

除了量化手段，白皮书还给出了企业管控和削减安全债的可行方法，包括建立风险登记册、将安全嵌入DevOps流程、以及践行零信任理念。同时，它也明确了企业在面对安全债时的三类策略:

• 缓解风险：当风险暴露可能威胁到业务运行、合规要求或信任关系时。

• 转移风险：通过保险、托管服务或责任共担模式，让第三方更有效地承担风险。

• 接受风险：当处置成本或投入远超预期影响时，但要保持债务可见，明确责任人并定期重审。

此外，白皮书中还专门介绍了如何向管理层解释安全债的概念，如何与合规及监管框架对接，以及安全债在技术演进中的演变趋势。

ISACA 隐私方向首席研究分析师 Safia Kazi 表示：“技术越发展，安全债的形态就越复杂。未来，企业需要将 AI 和自动化与强健的治理体系相结合，应对不断上升的监管要求，确保风险和绩效报告能真正触达高层。能够成功胜出的，一定是那些尽早识别、量化并主动应对安全债的组织——带着明确的意图和充分的透明度。”

白皮书全文可以通过ISACA中国区官网免费获取https://www.isaca.org.cn/knowledgebase/whitepaper

ISACA最新推出人工智能风险管理专家认证（AAIR），欢迎关注和咨询：https://www.isaca.org.cn/credentialing/aair

更多安全资源请见： https://www.isaca.org/resources/cybersecurity

ISACA 还提供更多与风险相关的资源，详情请见： https://www.isaca.org/resources/it-risk