Ch2-04 风险评估方法：定性与定量 + 核心公式

所属：Chapter 2 Personnel Security and Risk Management Concepts（Domain 1） 加厚标准：原书定义 + 对比表 / 真实案例 / 考试怎么考

① 一句话秒懂

评估风险有两条路：定性靠”经验打分”（快、主观），定量靠”算钱”（慢、客观）。CISSP 要求两者都做，互为校正。

② 生活类比

定性像”给相亲对象打印象分 1–10”；定量像”把彩礼、房价、工资全列成 Excel 算净现值”。前者快但各人标准不一，后者准但要数据。聪明人两份都看。

③ 核心概念（大白话 + 原书定义）

A. 定性与定量对比（Table 2.1 精简） | 特征 | Qualitative 定性 | Quantitative 定量 | |—|—|—| | 用数学校验 | 否 | 是 | | 用成本/收益分析 | 可能 | 是 | | 依赖估算 | 是 | 部分 | | 支持自动化 | 否 | 是 | | 客观程度 | 较低 | 较高 | | 依赖主观意见 | 是 | 否 |

  • 定性 Qualitative：基于场景/感知/直觉，按相对等级（高/中/低或 1–10）排序。常用技术：头脑风暴、焦点小组、问卷、Delphi 技术、情景 Scenarios。
    • Delphi Technique（德尔菲法）：匿名反馈—响应流程，让群体达成匿名共识，最小化偏见与权威影响。
    • Scenarios（情景）：单页描述一个主要威胁如何发生及影响，参与者给威胁等级、损失潜力、各防护优劣。
  • 定量 Quantitative：给资产与威胁影响标具体美元数，产出可量化报告。纯定量不够（部分要素无法量化），故常结合定性 → 混合评估 Hybrid。

B. 定量风险分析八步（与四公式）

  1. 资产清点并赋值（AV）
  2. 列出每资产的所有威胁（资产—威胁配对）
  3. 算暴露因子 EF（Exposure Factor，损失百分比）
  4. 算单次损失预期 SLE
  5. 算年发生率 ARO（Annualized Rate of Occurrence）
  6. 算年损失预期 ALE
  7. 研究对策并重新算 EF/ARO/ALE
  8. 做成本/收益分析，选最优响应

四大公式（必背计算） | 公式 | 含义 | 例子 | |—|—|—| | SLE = AV × EF | 单次损失预期 | AV $200,000 × EF 45% = $90,000 | | ARO | 一年内该威胁发生的期望次数 | 地震在 Tulsa 0.00001；邮件病毒 10,000,000 | | ALE = SLE × ARO = AV × EF × ARO | 年损失预期 | SLE $90,000 × ARO 0.5 = $45,000 | | Cost/Benefit = (ALE₁ − ALE₂) − ACS | 防护的年度净收益 | 结果为正才划算 |

  • EF（暴露因子）：资产被侵害时的损失百分比（易替换硬件 EF 小，独有设计/客户库 EF 大）。
  • ARO（年发生率）：一年内威胁实现的期望频率，0.0（永不）到很大。
  • ALE 排序：ALE 从大到小排，最大 ALE = 最优先处理的风险。
  • ACS（防护年化成本 Annual Cost of Safeguard）：采购+实施+运维+培训+机会成本。
  • 成本效益铁律：若 ACS > ALE₁（防护前年损失），该防护不划算；若所有防护都不划算，只能接受风险。

④ 考试怎么考（题型 + 必记混淆）

  • 题型 A（计算）：给 AV/EF/ARO 算 SLE 与 ALE——SLE=AV×EF，ALE=SLE×ARO。
  • 题型 B（匹配）：问 Delphi 技术目的 → 匿名达成共识；问哪种分析用美元数 → 定量。
  • 5 个必记混淆项：
    1. SLE 是单次损失，ALE 是年度损失（SLE×ARO）。
    2. EF 是百分比，不是金额。
    3. ARO 可为小数（如 0.5 表示两年一次）。
    4. Cost/Benefit 正=划算；ACS > ALE₁ → 不划算。
    5. 纯定量不足，需定性混合（hybrid）。

⑤ 真实案例

某公司算”服务器宕机”：AV $200k，EF 45% → SLE $90k；历史 ARO 0.5 → ALE $45k。拟购冗余电源 ACS $30k/年，部署后 ARO 降到 0.1 → ALE₂ $9k。Cost/Benefit = (45k−9k)−30k = +$6k/年，为正，采购划算。若 ACS 要 $60k，则为负，应接受风险。

⑥ 自测

  1. （计算）Asset value = $500,000, EF = 20%, ARO = 2. What is the ALE? A. $100,000 B. $200,000 C. $50,000 D. $1,000,000 答案：B（SLE=500k×0.2=100k；ALE=100k×2=200k）
  2. （单选）The Delphi technique is used to: A. Calculate ALE B. Reach anonymous consensus C. Deploy firewalls D. Assign asset value 答案：B

注：本篇定义以 Sybex CISSP OSG 10th (2024) Chapter 2 原书为准；SLE/ARO/ALE 计算、Delphi 目的、成本效益公式为计算题高频点。

This site uses Just the Docs, a documentation theme for Jekyll.