把攻击损失和防护支出放进同一张表，核心做法是先统一量化口径：损失端用“年度期望损失”，成本端用“年度防护总成本”，两者放在同一个时间轴和财务框架下对比，才能算出真正的安全投入产出比。
攻击损失和防护支出为什么不能直接比
很多企业做安全预算时，习惯把“去年被勒索的损失”和“今年安全设备的采购费”放在一起看，但你仔细想想,这俩东西压根不在一个频道上。
攻击损失是已经发生的、不确定的、带有运气成分的事件后果。它可能一年来一次，也可能五年不来一次，这次损失 80 万，下次可能是 800 万，甚至更多，而防护支出是持续性的、相对确定的、每年都会发生的固定成本，设备要买、人要养、维保要续,数字基本可预测。
这么一对比就明白了，拿一次事件的损失去比年度花费，本质上是用“个例”去比“常量”，没有可比性。
攻击损失的本质：概率事件
损失端不是“发生一次”就结束的，它的真实成本是“概率 × 影响”，举个例子，防火墙挡不住勒索软件，导致财务系统宕机一周，直接损失是数据恢复的费用，间接损失是停工期间无法开票、业务停滞、客户流失，这个间接损失怎么算？每家公司的体量不同、业务依赖度不同,结果差异非常大。
业内专家指出，多数中小企业的高估了单次事件的直接损失，却严重低估了业务中断带来的间接损失，两者叠加起来,才是攻击损失的全貌。
防护支出的本质：确定性成本
防护支出的构成相对简单：安全产品采购费、维保订阅费、安全人员薪资、应急响应预留资金、培训费用，每一项都清晰可见,财务上能给出精确数字。
但这里有个容易被忽略的点：防护支出不产生直接收益，它只在“攻击发生时”才体现出价值。这也导致很多老板认为安全部门是纯成本中心，很难看到“投入产出”。
用同一张表对齐两个视角：年度期望损失 vs 防护总成本
既然攻击损失是概率事件，那就把它“年化”，转化成和防护成本相同尺度的年度值，这就是行业内常说的 ALE（Annualized Loss Expectancy，年度期望损失）模型。
计算公式看起来很简单：ALE = 单次事件损失金额 × 年度事件发生概率。
具体怎么估算“年度期望损失”
“单次事件损失金额”和“年度事件发生概率”都是估算值,但你可以通过历史数据和行业公开信息来给你的估算建立合理依据。
- 参考过去三年公司内部的安全事件记录，统计平均处理成本
- 参照同行业公开的安全事件报告，比如勒索赎金的行业平均水平
- 以业务部门提供的“系统不可用每小时损失”数据为基准，推算业务中断成本
打个比方，假如你们的客户管理系统宕机一天，销售全停，按日均营收折算，损失大约是 15 万，过去三年发生过 2 次勒索攻击导致的宕机事件，那年化概率就是 0.67 次/年，算下来，这个系统的年度期望损失大约是 10 万。
防护支出拆解成“年度口径”
防护支出的口径同样要统一，别把一套三年期的安全产品的采购金额整笔算进今年的防护成本里，应该做折旧分摊,或者按年度费用化。
举个例子，花 30 万买了一套检测设备，能用三年，那今年的防护成本里应该计入的是每年 10 万的分摊成本,再加每年的维保费和人力成本。
把两边放在同一张表里
有了这个框架，就可以做一张标准的对照表了，表的核心有三列：攻击损失项、防护支出项、年度化金额。
| 攻击损失（年度期望损失） | 防护支出（年度成本） | 年度金额 |
|---|---|---|
| 业务中断损失（概率×单次金额） | 安全产品折旧/摊销 | 金额A |
| 数据恢复与取证费用 | 安全人员薪资（分摊） | 金额B |
| 合规罚款与法律调解费 | 订阅与维保服务费 | 金额C |
| 品牌声誉与客户流失损失 | 应急响应预提费用 | 金额D |
| 年度期望损失合计（ALE） | 年度防护总成本（TCO） | 合计 |
这张表做完，两个指标的对比关系一目了然：如果年度期望损失小于年度防护总成本，说明当前的防护投入可能过度；如果年度期望损失大于防护总成本，说明投入不足,风险敞口高于安全预算。
为什么“攻击损失怎么估算成本”这一步最关键
很多公司做不出上面的表，卡就卡在攻击损失怎么估算成本这一步，业务部门说“没法估”，财务说“没依据”,安全部门夹在中间。
先别追求精确，用“区间估算”代替“点估算”
攻击损失的估算没必要精确到个位，用一个合理区间就足够了，你可以把单次事件的损失定为三个档位：最小损失、最可能损失、最大损失。
比如数据泄露事件：最小损失是通知用户和公关费用，大概几万块；最可能损失是加上业务系统被迫停机的损失，几十万；最大损失是核心数据被公开泄露导致的长期品牌折损，数百万，取一个加权平均,作为ALE的计算基础。
用“占比法”估算间接损失
间接损失不好算，但可以简化：直接损失与间接损失的经验比例通常在 1:2 到 1:4 之间，这是行业内的一个通用经验值，如果客户关系强依赖线上系统，比如电商、SaaS 服务,间接损失占比会更高。
损失不是静止的，要每年重估
攻击损失受业务规模、数字化转型程度影响很大，今年公司做到了 5000 万营收，和去年 3000 万营收对应的损失口径完全不同，所以这张表不是做一次就完了，每半年或每次重大系统变更后，都需要重新估算。
用“表”做安全预算谈判：从防御逻辑转向投资逻辑
做这张表的最直接用途，就是和老板或财务部门谈企业安全预算怎么分配的时候,你有真正能站得住的依据。
把预算谈判的底层逻辑从“不做安全会出事”换成“从这个表上看，某个风险敞口预计带来的损失是 X 万，而我们只需要投入 Y 万去覆盖它”,哪个更打动管理层？
- 预算充足的场景：ALE 为 100 万，防护成本为 80 万，说明投入基本合理，重点在于优化成本结构
- 预算压缩的场景：老板要砍 10% 预算，你可以直接在表里算出砍掉哪块会导致哪个敞口的 ALE 明显上升，让降预算的影响变得可见
- 新增安全项目的场景：把新增项目的每年分摊成本加到防护支出里，同时重新计算覆盖后的 ALE 下降幅度，直接算出“净收益”
这种对话方式不再依赖于“安全很重要、必须重视”的空泛表述，也不再依赖甲方的个人偏好，它变成了财务部门最习惯的语言用数字说话。
ROSI 可以算，但别只看单一数字
有了表里的数据，还能进一步算安全投资回报率，即 ROSI（Return on Security Investment，安全投资回报率）,公式是：
ROSI =（规避的损失 – 防护成本）÷ 防护成本
规避的损失 = 实施防护前的 ALE – 实施防护后的 ALE。
但这个数字只适合做横向方案比较，不适合作为绝对的绩效指标，因为攻击损失本身就是概率事件，一年没发生攻击，不代表防护没有价值，ROSI 只是决策参考,不是财务结论。
实操中常见的时间差和口径坑
很多安全负责人做这张表时中招，不是因为不会算,而是掉进了几个隐蔽的坑。
时间差陷阱：一次损失 vs 年度支出
最常见的错误，是拿某一次重大攻击的实际损失和当年防护成本直接对比，这就像拿连续中三年彩票的人说“买彩票划算”一样，样本量不足，统计意义为零，要避免这个问题，必须把损失端放到至少 3 年的历史周期里去看,并且按年度折算。
数据来源不统一
费率、影响时长、人力成本，这三个参数必须基于同一来源的口径，财务给的停工损失可能是按“毛利”算的，而业务部门给的可能是按“营收”算的，这两个数字可能差出 30%，所以表格里要明确标注每个损失项的估算依据是什么，是财务数据、业务访谈还是行业基准。
只看有形成本，忽略无形成本
安全事件带来的“客户流失”“员工士气下降”“股权融资受阻”，这些没有直接发票的成本，在传统财务表里是看不到的，但它们对企业造成的实质冲击往往远超有形成本，这部分没法精确量化，但可以在表格底部加一个定性风险评估区，用高/中/低来标注,不强行赋值。
常见场景：防御型企业怎么做这张表
如果是还没有遭遇过重大攻击的中小企业，没有历史事件数据,怎么填损失端？
方法是用“假设推演法”，找业务、运维、销售各来一个人，做一次桌面推演，假设系统被锁、数据被删，第一天怎么办、第一周怎么办、第一个月怎么办，把每一步的动作折算成钱（人力工时、停工损失、恢复费用）,同样能推演出一个合理的年度期望损失区间。
这时候你就可以发现，让防护成本和损失数据在同一张表上有“对话感”，前提是先承认损失的不确定性，然后主动用一个统一模型把它“概率化”。
常见问题解答
攻击损失具体包括哪些费用项目？
主要包含五项：业务中断导致的收入损失、数据恢复与系统重建费用、合规罚款与法律费用、客户赔偿与公关费用、品牌受损导致的长期业务流失，前两项最容易量化,后三项需要借助经验比例估算。
年度期望损失算高了怎么办？
<首先要确认估算逻辑里是否把“最大损失”当成了“期望损失”，这两者不是一回事，其次检查间接损失的比例系数是否合理，如果修正后数值仍然高，那么说明风险确实大，这正好是向管理层申请增加预算的理由。
安全预算占总营收的比例多少合适？
没有统一标准，行业共识认为，不同行业差别很大：金融、互联网等数字化程度高的行业投入占比相对更高，制造业、传统零售相对较低，更合理的做法是先用表格算出本企业的年度期望损失总额，再反推一个让你“晚上能睡安稳觉”的预算额度,而不是盲目对标别人的比例。