Качественный и количественный анализ рисков

После выявления рисков организации должны решить, какому уровню риска они подвергаются. Существует два основных подхода: качественный анализ использует описательные шкалы (High, Medium, Low), основанные на экспертной оценке, а количественный анализ использует числовые вычисления, чтобы выразить риск в денежном эквиваленте. Оба подхода занимают важное место в зрелой программе безопасности — выбор зависит от доступных данных и принимаемых решений.

При качественном анализе аналитики присваивают вероятности и воздействию описательные оценки — обычно по 3-уровневой (Low/Medium/High) или 5-уровневой шкале. Затем эти оценки объединяются в матрице рисков для определения общего уровня риска. Главное преимущество такого подхода — скорость и доступность: подробные финансовые данные не требуются, а в работе могут участвовать заинтересованные стороны без бухгалтерской подготовки. Недостаток — субъективность: два аналитика могут по-разному оценить один и тот же риск.

Количественный анализ присваивает рискам денежные значения с помощью формул. Основные термины: Asset Value (AV) — денежная стоимость актива. Exposure Factor (EF) — процент стоимости актива, утрачиваемый при инциденте (например, 40%). Single Loss Expectancy (SLE) = AV × EF. Annual Rate of Occurrence (ARO) — ожидаемое количество событий в год. Annual Loss Expectancy (ALE) = SLE × ARO. ALE используется для принятия решений о целесообразности затрат на средства управления.

SLE обозначает денежную сумму, которую ожидается потерять при каждом наступлении определённого события, связанного с риском. Он рассчитывается по формуле SLE = Asset Value × Exposure Factor. Если файловый сервер стоимостью $300,000 будет уничтожен на 30% в результате атаки вымогателя, SLE составит $90,000. SLE — это один из базовых показателей: сам по себе он не учитывает частоту наступления события, поэтому для вычисления показателя за год также требуется ARO.

ARO показывает, сколько раз ожидается наступление события, связанного с риском, в течение 12 месяцев. ARO, равный 1, означает, что событие ожидается один раз в год. ARO, равный 0.1, означает один случай за 10 лет. ARO, равный 4, означает четыре случая в год. Значения ARO обычно выводятся из исторических данных об инцидентах, отраслевой статистики, разведданных об угрозах или актуарных оценок страховщиков. Неточные оценки ARO напрямую искажают расчёты ALE.

ALE — основа количественного анализа рисков: ALE = SLE × ARO. Этот показатель отражает ожидаемые годовые финансовые потери от определённого риска. ALE позволяет напрямую сопоставлять риски и расходы на безопасность. Если средство управления стоит $50,000 в год и снижает ALE с $120,000 до $20,000, чистая экономия в размере $50,000 оправдывает инвестиции. Если стоимость средства управления превышает снижение ALE, оно экономически нецелесообразно.

Количественный анализ даёт объективные, воспроизводимые результаты, которые можно напрямую сопоставить с расходами на безопасность. Значения ALE естественным образом включаются в анализ затрат и выгод и расчёты ROI, понятные руководителям. Страховые андеррайтеры, аудиторы и советы директоров лучше воспринимают утверждение «наш ALE для атак вымогателей составляет $500,000 в год», чем фразу «риск атак вымогателей имеет уровень High». Количественные модели также поддерживают объединение рисков по портфелям активов.

Количественный анализ имеет существенные ограничения. Качество данных — главная проблема: значения ARO часто представляют собой догадки, выдаваемые за статистику. Если исторических данных об инцидентах мало, расчёты ALE не надёжнее качественной оценки. Кроме того, некоторые последствия — ущерб репутации, доверие клиентов, регуляторные штрафы — чрезвычайно трудно точно выразить количественно. Количественные модели также обычно требуют много времени и могут потребовать привлечения дорогостоящих консультантов или специалистов по актуарным расчётам.

Качественный анализ страдает от субъективности и непоследовательности. Разные аналитики, оценивающие один и тот же риск, могут получить разные результаты, из-за чего сравнение между командами или организациями становится ненадёжным. Качественные оценки также трудно напрямую перевести в бюджетные решения: риск уровня «High» не указывает, сколько следует потратить на средства управления. Может возникнуть эффект якоря, когда аналитики повышают или понижают оценки под влиянием недавних инцидентов, а не объективных критериев.

Большинство зрелых организаций используют оба метода взаимодополняющим образом. Качественный анализ применяется при первоначальной сортировке, чтобы определить, какие риски требуют более глубокого изучения. Затем количественный анализ применяется к рискам с высоким приоритетом, когда подробное финансовое моделирование оправдывает затраченные усилия. Такой гибридный подход объединяет скорость качественной оценки и точность количественного моделирования там, где это наиболее важно.

На экзамене Security+ необходимо уметь распознавать формулы: SLE = AV × EF и ALE = SLE × ARO. В заданиях часто описывается ситуация с указанием стоимости актива, коэффициента воздействия и частоты наступления события, после чего предлагается вычислить SLE или ALE либо определить экономическую целесообразность средства управления. Также необходимо уметь различать качественный и количественный подходы и выбирать подходящий метод с учётом ограничений конкретной ситуации.

Проверьте, насколько хорошо Вы усвоили концепции CompTIA Security+ (SY0-701) из этого урока.

В этом уроке Вы узнали, что качественный анализ использует описательные шкалы (High/Medium/Low) и выполняется быстро, но является субъективным; количественный анализ использует формулы (SLE = AV × EF; ALE = SLE × ARO), чтобы выразить риск в денежном эквиваленте; а ALE определяет решения о затратах и выгодах при выборе средств управления безопасностью. Далее мы рассмотрим четыре варианта обработки риска: accept, transfer, mitigate и avoid.