在一个理想化的世界里，安全费用永远不会影响决策的制定。但事实上所有的预算都是有限的，因此今天的CIO必须象购买其它技术一样抱着“在支出最少的情况下获得最大利益”的态度来对待安全问题。
然而，如果在决策中纳入了安全费用问题，那么企业就要投入大量的资金，甚至要超过CIO们购买产品所支出的费用，同时，如果一个安全方案不能满足集团的需求，那么还将影响未来成本。
加密技术PGP厂商的市场部副总裁Andrew Krcik说：“成本效率是一个你支出多少和得到多少的关系问题。购买任何东西都需要有一个最低限度的支出水平。如果你所支出的费用连建立一个最低限度的质量保证和普及水平都不够，那么你又何必要支出这些费用？
为了解决这个问题，PGP委托了Ponemon Institute研究机构来调查恢复一条损坏的记录所需要的实际费用。这次调查研究了11个行业部门的14家企业所拥有的1,500-9,000个消费者的1,400万条损坏记录所需要的实际费用。
总体来说，支出费用最高的是金融服务、数据综合和零售部门，同时，支出费用最低的是高等教育和健康保健。
他们的调查结果如下：
1、平均每家企业恢复损坏数据所花费的总成本在1,400万美元，换句话说，恢复每条损坏的消费者记录需要支出140美元。
2、平均每家企业的费用增长和超出预算所支出的直接费用为500万美元，换句话说，恢复每条消费者记录的直接费用支出为50美元。
3、平均每家企业为恢复生产力所支出的间接费用为1,500万美元，换句话说，恢复每条消费者记录的间接费用为15美元。
4、平均每家企业的机会成本为750万美元，换句话说，每条损坏的消费者记录的机会成本为75美元。
这些调查结果对于为什么和什么时候采取安全措施做了很好的描述，一个安全方案不应该只投入最低保障的资金。
一家信息安全顾问公司的技术主管Eric Ahlm说：“这所有的一切都是要使损失和风险最小化并最终消除这种风险。”
一、对风险与需求的评估
根据Arcot 系统的副总裁Jim Reno说，当评估数据损坏涉及到潜在花费时，要考虑五个关键事项。这些事项包括了实物资产（包括现金）的直接和间接支出以及法定费用，比如罚金等。
另一个需要考虑的事项就是数据损坏将会给企业带来的影响，包括人力资源、通讯、丢失的商业机密、销售领先地位等等。最后，要考虑企业声誉受损所涉及的费用支出。
Reno说：“这种影响与企业密切相关，比如金融服务在消费者领域中是最具竞争力的，而公共机构的竞争力相对来说就要弱一些。”
还有一个要注意地方就是与金融机构密切相关的“信任因素”。一旦这种信任被银行或消费者经纪人所破坏，那么它们之间的关系就是会变得很复杂。所以在可能的条件下，要尽量避免这种事情的发生。
因此，要衡量这种破坏所需的潜在费用支出，Reno认为应该包括以下几点：
1、轻松使用：如果安全方案太难使用，人们将会试图采用新的方案来替代。
2、教育：你的员工是否明白这些问题：为什么企业需要采取安全措施？新的解决方案将怎样给他们或集团带来多大的利润？
3、轻松合并：安全方案怎样才能与全面的IT和企业构造相符合？需要花费多长时间和多少资金来制定这种方案？这种方案是否能够及时地实施？使用现有的人力资源和设备是否划算？
4、企业需求的兼容性：安全方案能否帮助企业满足集团的当前和未来需求？除了采取安全措施，还要采取哪些切实措施来确保这种解决方案给企业的商业流程带来帮助？
Ahlm还说，了解一个集团的风险情况对于评估流程来说也是至关重要的。
他说：“你需要真正明白什么事情处在危险中以及所涉及的有形和无形花费。同时，你还要学会与其他人进行沟通。每个人都会有自己不同的见解，这是一种方法，一种工作模式。
二、工作流程
当乔治亚州技术管理局（Georgia Technology Authority，以下简称GTA）在乔治国会大厦做完了无线网络部署的安全评估流程后受益匪浅。
在2003年，国会部署了WLAN后遭到了攻击，这一结果被公开后，WLAN被迫关闭。
GTA 的指挥中心兼网络行政部门主管Al Yelverton说：“虽然这不是我们建立的网络，但是我们从中得到了不少收获。”
因此，在2005年，当Sonny Purdue政府负责GTA的 WLAN部署时，集团认为不仅要保证WLAN的安全性问题，同时这种WLAN还必须是可信赖、经济上可承受并且能够工作于一些特殊的建筑结构中。如果大楼的砖墙有三尺厚，那么部署WLAN需要一个更有效的无线接入点来确保其可用性。然而，同时这也使得系统被更容易被攻击。
Yelverton说：“因为我们是政府，所以在我们的思想中，费用支付永远都是首先考虑的问题。但是，我们不会满足于那些廉价的技术，我们会制定一个合理的解决方案。”
最终，他们选择了AirDefense解决方案。AirDefense系统不仅可以满足他们的安全和监视需求，而且还提供了一个更高级别的可测量性，这种可测量性使GTA可以扩展这种无线网络，乃至覆盖到其它建筑。
作为一个企业级的解决方案，AirDefense还可以升级，这对于那些需要低付出高回报解决方案的CIO们来说是非常吸引人的。
来自提供企业级解决方案厂商的Krcik说：“可测量性、简易性以及低成本的部署”的解决方案是我们所需要的，它使得平台能够在网关和端点结合的环境下供应多重加密技术应用软件，这种多重加密技术应用软件提供了“一次部署，终生受益”的解决办法。
Arcot提供了一个被称为ArcotID的软件型系统。从技术的角度来看，这种系统发挥着硬件型智能卡的作用，但是与硬件不同地方是，它从一个远程服务器上下载一个小的软件档案到使用者的设备上或USB fob上与PIN码联合使用来进行认证。
Arcot 公司的副总裁Doc Vaidhyanathan说：“软件型智能卡希望开发一个完全像传统型智能卡的应用软件，只是从使用者的角度来看，这种智能卡更容易使用，因为他们并不必携带多余的硬件。”
Krcik说：最后，解决方案所需实际支出将不再成为企业和最终用户的主要问题。低投入高回报的安全方案不仅仅意味着更合理的支出费用，而且还将避免商业活动的中断。
他说：“这样看来，虽然软件花费是我们需要考虑的问题，但网络和基础设施本身所存在的问题破坏性更大，如果告诫使用者，又会给使用者造成影响，这几乎成为当今无法解决的问题，加上操作费用问题，形成了困扰IT部门的最主要的三个问题，而相对于这些问题，软件本身的成本往往是第二位的。”
