Kvalitativ kontra kvantitativ riskanalys

När risker har identifierats måste organisationer avgöra hur stor risk de är utsatta för. Det finns två övergripande metoder: kvalitativ analys använder beskrivande skalor (hög, medel, låg) baserade på expertbedömningar, medan kvantitativ analys använder numeriska beräkningar för att uttrycka risk i monetära termer. Båda metoderna har sin plats i ett moget säkerhetsprogram – rätt val beror på tillgängliga data och vilka beslut som ska fattas.

Vid kvalitativ analys tilldelar analytiker beskrivande bedömningar av sannolikhet och konsekvens – vanligtvis enligt en skala med 3 nivåer (låg/medel/hög) eller 5 nivåer. Bedömningarna kombineras i en riskmatris för att fastställa en övergripande risknivå. Den största fördelen är snabbhet och tillgänglighet: inga detaljerade ekonomiska uppgifter behövs, och intressenter utan redovisningsbakgrund kan delta. Nackdelen är subjektiviteten – två analytiker kan bedöma samma risk på olika sätt.

Kvantitativ analys tilldelar risk ett dollarvärde med hjälp av formler. Viktiga termer: Asset Value (AV) är tillgångens dollarvärde. Exposure Factor (EF) är den procentandel av tillgångens värde som går förlorad vid en incident (till exempel 40 %). Single Loss Expectancy (SLE) = AV × EF. Annual Rate of Occurrence (ARO) anger hur många gånger händelsen förväntas inträffa per år. Annual Loss Expectancy (ALE) = SLE × ARO. ALE ligger till grund för kostnads- och nyttoanalyser av säkerhetsåtgärder.

SLE representerar det dollarbelopp som förväntas gå förlorat varje gång en specifik riskhändelse inträffar. Det beräknas som SLE = Asset Value × Exposure Factor. Om en filserver värd 300 000 dollar skulle förstöras till 30 % av en ransomware-attack är SLE 90 000 dollar. SLE är en grundläggande byggsten – värdet tar inte i sig hänsyn till hur ofta händelsen inträffar, vilket är anledningen till att ARO också krävs för att beräkna ett meningsfullt årsbelopp.

ARO anger hur många gånger en riskhändelse förväntas inträffa under en period på 12 månader. Ett ARO på 1 innebär att händelsen förväntas inträffa en gång per år. Ett ARO på 0,1 innebär en gång vart tionde år. Ett ARO på 4 innebär fyra gånger per år. ARO-värden härleds vanligtvis från historiska incidentdata, branschstatistik, hotinformation eller aktuariella uppskattningar från försäkringsbolag. Felaktiga ARO-uppskattningar snedvrider ALE-beräkningarna direkt.

ALE är hörnstenen i kvantitativ riskanalys: ALE = SLE × ARO. Det representerar den förväntade årliga ekonomiska förlusten från en viss risk. ALE möjliggör direkta jämförelser mellan risker och säkerhetsutgifter. Om en säkerhetsåtgärd kostar 50 000 dollar per år och minskar ALE från 120 000 till 20 000 dollar, motiverar nettobesparingen på 50 000 dollar investeringen. Om säkerhetsåtgärden kostar mer än minskningen av ALE är den inte kostnadseffektiv.

Kvantitativ analys ger objektiva och reproducerbara resultat som kan jämföras direkt med säkerhetsutgifter. ALE-värden kan på ett naturligt sätt integreras i kostnads- och nyttoanalyser och ROI-beräkningar som chefer förstår. Försäkringsbedömare, revisorer och styrelser reagerar bättre på ”vår ALE för ransomware är 500 000 dollar per år” än på ”risken för ransomware är hög”. Kvantitativa modeller stöder även sammanvägning av risker över portföljer av tillgångar.

Kvantitativ analys har betydande begränsningar. Datakvalitet är den största utmaningen: ARO-värden är ofta gissningar som framställs som statistik. Om historiska incidentdata är knapphändiga är ALE-beräkningarna inte mer tillförlitliga än en kvalitativ bedömning. Dessutom är vissa konsekvenser – skadat anseende, minskat kundförtroende och regulatoriska sanktioner – extremt svåra att kvantifiera korrekt. Kvantitativa modeller tenderar också att vara tidskrävande och kan kräva dyra konsulter eller aktuariell expertis.

Kvalitativ analys präglas av subjektivitet och bristande konsekvens. Olika analytiker kan komma fram till olika resultat när de bedömer samma risk, vilket gör jämförelser mellan team eller organisationer osäkra. Kvalitativa bedömningar är också svåra att direkt översätta till budgetbeslut – en ”hög” risk anger inte hur mycket som bör läggas på säkerhetsåtgärder. Förankringsbias kan uppstå när analytiker höjer eller sänker bedömningar utifrån nyligen inträffade incidenter i stället för objektiva kriterier.

De flesta mogna organisationer använder båda metoderna på ett kompletterande sätt. Kvalitativ analys används vid den inledande prioriteringen för att avgöra vilka risker som ska utredas djupare. Kvantitativ analys tillämpas sedan på högt prioriterade risker där detaljerad ekonomisk modellering motiverar arbetsinsatsen. Denna hybridmetod kombinerar snabbheten i kvalitativ poängsättning med precisionen i kvantitativ modellering där det är viktigast.

På Security+-provet förväntas du känna igen formlerna: SLE = AV × EF och ALE = SLE × ARO. Provfrågor beskriver ofta ett scenario med tillgångsvärde, exponeringsfaktor och förekomstfrekvens och ber dig beräkna SLE eller ALE, eller avgöra om en säkerhetsåtgärd är kostnadseffektiv. Du ska också kunna skilja mellan kvalitativa och kvantitativa metoder och identifiera lämplig metod utifrån scenariots begränsningar.

I den här lektionen har du lärt dig att kvalitativ analys använder beskrivande skalor (hög/medel/låg) och är snabb men subjektiv, att kvantitativ analys använder formler (SLE = AV × EF; ALE = SLE × ARO) för att uttrycka risk i dollar, samt att ALE ligger till grund för kostnads- och nyttoanalyser av säkerhetsåtgärder. Härnäst utforskar vi de fyra alternativen för riskbehandling: acceptera, överföra, minska och undvika.