Analisis Risiko Kualitatif berbanding Kuantitatif

Setelah risk dikenal pasti, organisasi mesti menentukan jumlah risk yang dihadapi. Terdapat dua pendekatan umum: analisis kualitatif menggunakan skala deskriptif (High, Medium, Low) berdasarkan pertimbangan pakar, manakala analisis kuantitatif menggunakan pengiraan berangka untuk menyatakan risk dalam nilai kewangan. Kedua-dua pendekatan mempunyai tempat dalam program keselamatan yang matang — pilihan yang tepat bergantung pada data yang tersedia dan keputusan yang perlu dibuat.

Dalam analisis kualitatif, penganalisis memberikan rating deskriptif kepada kemungkinan dan impak — biasanya pada skala 3 tahap (Low/Medium/High) atau 5 tahap. Rating ini digabungkan dalam matriks risk untuk menghasilkan tahap risk keseluruhan. Kelebihan utama ialah kepantasan dan kemudahcapaian: data kewangan terperinci tidak diperlukan, dan pihak berkepentingan tanpa latar belakang perakaunan boleh mengambil bahagian. Kelemahannya ialah sifat subjektif — dua penganalisis mungkin memberikan rating yang berbeza untuk risk yang sama.

Analisis kuantitatif menetapkan nilai dolar kepada risk menggunakan formula. Istilah utama: Asset Value (AV) ialah nilai dolar aset. Faktor Pendedahan (EF) ialah peratusan nilai aset yang hilang dalam sesuatu insiden (contohnya, 40%). Single Loss Expectancy (SLE) = AV × EF. Annual Rate of Occurrence (ARO) ialah bilangan kali event dijangka berlaku dalam setahun. Annual Loss Expectancy (ALE) = SLE × ARO. ALE memacu keputusan kos-faedah bagi kawalan.

SLE mewakili jumlah dolar yang dijangka hilang setiap kali event risk tertentu berlaku. Nilai ini dikira sebagai SLE = Asset Value × Exposure Factor. Jika sebuah server fail bernilai $300,000 musnah sebanyak 30% akibat serangan perisian tebusan, SLE ialah $90,000. SLE ialah asas pengiraan — dengan sendirinya, ia tidak mengambil kira kekerapan event berlaku, sebab itulah ARO juga diperlukan untuk mengira nilai tahunan yang bermakna.

ARO menyatakan bilangan kali sesuatu event risk dijangka berlaku dalam tempoh 12 bulan. ARO sebanyak 1 bermaksud event tersebut dijangka berlaku sekali setahun. ARO sebanyak 0.1 bermaksud sekali setiap 10 tahun. ARO sebanyak 4 bermaksud empat kali setahun. Nilai ARO biasanya diperoleh daripada data insiden sejarah, statistik industri, risikan ancaman atau anggaran aktuari daripada syarikat insurans. Anggaran ARO yang tidak tepat akan memesongkan pengiraan ALE secara langsung.

ALE ialah asas analisis risk kuantitatif: ALE = SLE × ARO. Nilai ini mewakili kerugian kewangan tahunan yang dijangka daripada sesuatu risk. ALE membolehkan perbandingan langsung antara risk dan perbelanjaan keselamatan. Jika sesuatu kawalan berharga $50,000 setahun dan mengurangkan ALE daripada $120,000 kepada $20,000, penjimatan bersih sebanyak $50,000 mewajarkan pelaburan tersebut. Jika kos kawalan melebihi pengurangan ALE, kawalan itu tidak menjimatkan kos.

Analisis kuantitatif memberikan hasil yang objektif dan boleh dihasilkan semula, yang boleh dibandingkan secara langsung dengan perbelanjaan keselamatan. Nilai ALE boleh disepadukan secara semula jadi ke dalam analisis kos-faedah dan pengiraan ROI yang difahami oleh para eksekutif. Penaja jamin insurans, juruaudit dan lembaga pengarah lebih mudah menerima kenyataan “ALE kami untuk perisian tebusan ialah $500,000 setahun” berbanding “risk perisian tebusan ialah High.” Model kuantitatif juga menyokong pengagregatan risk merentas portfolio aset.

Analisis kuantitatif mempunyai batasan yang ketara. Kualiti data ialah cabaran terbesar: nilai ARO sering kali merupakan tekaan yang disamarkan sebagai statistik. Jika data insiden sejarah adalah terhad, pengiraan ALE tidak lebih boleh dipercayai daripada pertimbangan kualitatif. Selain itu, sesetengah impak — kerosakan reputasi, kepercayaan pelanggan dan penalti kawal selia — amat sukar untuk dikuantifikasikan dengan tepat. Model kuantitatif juga cenderung mengambil masa dan mungkin memerlukan perunding yang mahal atau kepakaran aktuari.

Analisis kualitatif mengalami masalah subjektiviti dan ketidakselarasan. Penganalisis yang berbeza mungkin menghasilkan keputusan yang berbeza apabila menilai risk yang sama, menyebabkan perbandingan merentas pasukan atau organisasi tidak boleh dipercayai. Rating kualitatif juga sukar diterjemahkan secara langsung kepada keputusan belanjawan — risk “High” tidak menyatakan jumlah yang perlu dibelanjakan untuk kawalan. Bias penambatan boleh berlaku apabila penganalisis menaikkan atau menurunkan rating berdasarkan insiden terkini dan bukannya kriteria objektif.

Kebanyakan organisasi yang matang menggunakan kedua-dua kaedah secara saling melengkapi. Analisis kualitatif digunakan dalam penilaian awal untuk mengutamakan risk yang memerlukan siasatan lebih mendalam. Analisis kuantitatif kemudiannya digunakan pada risk berkeutamaan tinggi apabila pemodelan kewangan terperinci dapat mewajarkan usaha tersebut. Pendekatan hibrid ini menggabungkan kepantasan pemarkahan kualitatif dengan ketepatan pemodelan kuantitatif apabila ketepatan paling diperlukan.

Peperiksaan Security+ mengharapkan anda mengenali formula berikut: SLE = AV × EF dan ALE = SLE × ARO. Soalan peperiksaan sering memberikan senario dengan nilai aset, faktor pendedahan dan kadar kejadian, kemudian meminta anda mengira SLE atau ALE, atau menentukan sama ada sesuatu kawalan menjimatkan kos. Anda juga harus dapat membezakan pendekatan kualitatif daripada kuantitatif serta mengenal pasti kaedah yang sesuai berdasarkan kekangan senario tersebut.

Dalam pelajaran ini, anda telah mempelajari bahawa: analisis kualitatif menggunakan skala deskriptif (High/Medium/Low) dan pantas tetapi subjektif, analisis kuantitatif menggunakan formula (SLE = AV × EF; ALE = SLE × ARO) untuk menyatakan risk dalam nilai dolar, dan ALE memacu keputusan kos-faedah bagi kawalan keselamatan. Seterusnya, kita akan meneroka empat pilihan rawatan risk: menerima, memindahkan, mengurangkan dan mengelakkan.