很少有人谈到的网络安全风险因素

次风险评估都是在应对可能发生的事情和什么都不做之间进行斗争，尤其是在以前从未发生过的情况下。很多人认为什么都不做更省钱，那些为某事而奋斗的人可能会被认为是在浪费钱。“为什么要浪费钱?那永远不过发生!”

很少有人会因为保持现状和墨守成规而惹上麻烦。尤其是在涉及大笔资金的情况下，积极采取行动，要比坐等损失出现并解决问题要困难得多。

以 911 和航空旅途安全举例。并不是说航空安全专家们在 2001 年 9 月 11 日之前就不知道劫机者可以通过一把美工刀控制驾驶舱，或将爆炸物偷运上飞机。这些风险早在几十年前就已为人所知。想象一下，如果在 911 事件发生之前，乘客就被要求扔掉水瓶并接受全身扫描，会引起公众多么强烈的抗议。这可能会激怒公众，航空公司也会主动去掉这些安全措施。

911 之后，我们很乐意脱掉鞋子，扔掉水瓶，接受全身扫描。获得资金来应对可能的风险要比在损失发生后获得资金困难得多。每当风险评估人员就从未发生过的问题发出警告时，都非常需要勇气。他们是无名英雄。

2. 政治风险

主动承担风险会引发相关的未知风险之一：政治风险。每当积极主动的英雄们争取应对从未发生的事情时，他们都会失去一点政治资本。他们只有在他们积极主动去应对的事情发生的时候才能获得胜利。如果他们能成功说服公司实施控制和缓解措施，那么糟糕的事情就永远不会发生，好吧，它永远不会发生。

这是一个悖论。当他们胜利的时候没有人知道，因为他们成功争取到了控制。所以，每当他们担心的事情从未发生时，他们就会被视为 “狼来了”。他们失去了政治资本。

任何经历过这些风险管理斗争的人都可以告诉你，他们不想承担太多的挑战。每一次斗争都会给他们的声誉带来一点损害(或很多)。所以，这些战士们会计划他们想要打哪些仗。随着时间的推移，经验丰富的战士会减少战斗次数。他们不得不这么做。适者生存。他们中的很多人只会等待某一天，当一件真正糟糕的事情发生时，他们没能为组织机构止损而斗争，而成为了替罪羊。

3. “我们说已经做完了，但并不一定”的风险

我们所说的很多控制和缓解措施并没有真正完成，至少没有达到 

（编辑：新余站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!