安全事故的代价有以下几项：应急响应和公共关系费用，律师费，IT系统体检、取证调查费用，来自司法机构和主管行业/协会等的罚款和问责，各种用户通知更新费用，另外，还有其它多种非直接的费用，例如IT系统清理、数据丢失带来的知识产权和商誉的损失等。

“不披露”的责任取决于各国的立法。美国和日本等发达国家在安全事故披露方面通过立法建立了较为完善的制度，故意隐匿安全事故会给相关方带来严重的刑事、民事处罚。

安全事故发生并披露后的代价、和“不披露”的责任放在一起，较低的那个，我们可以称之为“有效代价”，其高低是企业和组织评估安全投入是否合理合算的重要依据。

简而言之，如果某类安全事故发生后的“有效代价”很低， 对于一个理性决策者来说，就没有必要和理由投入过高的资源去预防或阻止它。相反的，如果某类安全事件发生后的“有效代价”极其高昂，理性的决策者一定会投入相对应的安全资源而将其降低到可以接受的水平。

另外，网络安全具有外在性（externality）。换句话说，个体在网络安全上的成效和意义超出该个体自身的利益，对个体之外群体的利益产生影响。与此类似的有传染病、消防、吸烟等。对于具有此类特性的社会事务，通常通过立法来进行约束，取消个体的一些自主权，而进行强制要求。

举例来说，当某电商网站被“拖库”时，不仅该电商的业务受到影响，用户信息被泄露，可能被用以“撞库”，而导致受影响用户的其它信息和业务受到损失。当没有法律强行要求时，受损电商的理性选择通常是将数据泄漏事件隐匿，或大事化小，从而降低自身的“代价”。但“捂盖子”的做法却增加了社会整体的潜在风险。相反地，如果有相关法律强制要求围绕安全事件的一系列责任，通过大幅增加“隐匿”安全事故的成本，将其理性选择转向客观透明地披露报告安全事故、通知受影响用户、主动或协助第三方进行事故“根源分析”… 这样长期实践的综合效果带来的是社会整体风险的降低，以及有数据支撑的、更为科学的公众安全实践。

网络安全“事故”是客观存在的，只不过有检测到的和没检测到的、披露的和没披露的、有根源分析的和不明所以的之分。

                    北京华清泰和科技有限公司：www .huaqingth.com