As organizações também precisam estar alertas a ataques direcionados aos seus funcionários, por meio de mensagens de email ou ligações telefônicas. Estes ataques conhecidos por agregar características que aproximam o hacker da vítima, por exemplo, através de mensagens com conteúdo atraente para o seu trabalho, e solicitando normalmente alguma ação por parte do colaborador.
Contudo, a ameaça não vem somente de fora: muitas vezes, é justamente o ambiente interno da empresa que fornece o acesso às informações confidenciais que podem causar danos. Os detentores de informações confidenciais sensíveis podem ser subornados a fornecê-las. Em tempos nos quais os profissionais se movimentam cada vez mais no mercado de trabalho, existe o risco de retirar e transferir recursos sem autorização do proprietário – fazer o download de toda uma base de dados de informações para levar com eles quando forem para outra empresa ou encontrarem um comprador interessado.
Entender o valor dos ativos de informação corporativos e como o roubo, a interrupção e a destruição destes afetariam a concretização dos objetivos comerciais permite que os conselhos avaliem os benefícios empresariais decorrentes de uma gestão de riscos cibernéticos feita de forma eficaz. Esse processo de descoberta também ajuda a ilustrar como a tomada de decisão desse grupo pode aumentar ou reduzir a exposição ao risco da empresa de forma geral. Assim que os conselheiros tiverem um entendimento mais claro da forma e da escala do risco cibernético, e o que ele representa para a organização, serão mais capazes de estabelecer adequadamente o nível de apetite por risco corporativo, bem como de investir de forma mais eficiente na gestão do risco cibernético, em conformidade com os outros riscos empresariais.