定性与定量风险分析

识别出 Risk 后，组织必须确定自己面临的Risk 程度。主要有两种方法：Qualitative 分析根据专家判断使用描述性等级（High、Medium、Low），而Quantitative 分析使用数值计算，以货币形式表示 Risk。成熟的 Security 计划中两种方法都有适用场景——正确的选择取决于可用数据和需要作出的决策。

在Qualitative 分析中，分析人员会为 Likelihood 和 Impact 分配描述性 Rating，通常采用 3 级（Low/Medium/High）或 5 级量表。随后将这些 Rating 结合到 Risk 矩阵中，得出总体 Risk 等级。其主要优点是快速且易于使用：不需要详细的财务数据，没有会计背景的相关方也可以参与。缺点是主观性较强——两名分析人员可能会对同一 Risk 给出不同 Rating。

Quantitative 分析使用公式为 Risk 分配金额。关键术语包括：Asset Value (AV)是 Asset 的货币价值；Exposure Factor (EF)是事件中损失的 Asset 价值百分比（例如 40%）；Single Loss Expectancy (SLE) = AV × EF；Annual Rate of Occurrence (ARO)表示预计每年发生该 event 的次数；Annual Loss Expectancy (ALE) = SLE × ARO。ALE 为有关 Controls 的成本效益决策提供依据。

SLE表示每次特定 Risk event 发生时预计损失的金额。其计算方式为 SLE = Asset Value × Exposure Factor。如果一台价值 300,000 美元的文件服务器在勒索软件攻击中预计会损毁 30%，那么 SLE 就是 90,000 美元。SLE 是计算基础；它本身没有考虑 event 发生的频率，因此还需要 ARO 才能计算出有意义的年度数值。

ARO表示 Risk event 在 12 个月内预计发生的次数。ARO 为 1 表示预计每年发生一次；ARO 为 0.1 表示每 10 年发生一次；ARO 为 4 表示每年发生四次。ARO 数值通常来自历史事件数据、行业统计、威胁情报或保险公司的精算估算。不准确的 ARO 估算会直接导致 ALE 计算结果偏差。

ALE是 Quantitative Risk 分析的核心：ALE = SLE × ARO。它表示某项特定 Risk 每年预计造成的财务损失。ALE 可以直接比较不同 Risk 和 Security 支出。如果某项 Control 每年成本为 50,000 美元，并将 ALE 从 120,000 美元降至 20,000 美元，那么 50,000 美元的净节省足以证明这项投资是合理的。如果 Control 成本高于 ALE 的降低额，则该 Control 不具备成本效益。

Quantitative 分析能够提供客观且可重复的结果，并可直接与 Security 支出进行比较。ALE 数值可以自然地用于成本效益分析和管理层能够理解的ROI 计算。保险承保人、审计人员和董事会通常更容易接受“我们的勒索软件 ALE 每年为 500,000 美元”，而不是“勒索软件 Risk 为 High”。Quantitative 模型还支持对多个 Asset 组合中的 Risk 进行汇总。

Quantitative 分析存在明显局限。数据质量是最大的挑战：ARO 数值常常只是包装成统计数据的猜测。如果历史事件数据很少，ALE 计算结果的可靠性并不比 Qualitative 判断更高。此外，有些 Impact——例如声誉损害、客户信任和监管处罚——极难准确量化。Quantitative 模型通常还很耗时，可能需要聘请昂贵的顾问或具备精算专业知识的人员。

Qualitative 分析容易受到主观性和不一致性的影响。不同分析人员对同一 Risk 进行 Rating 时可能得出不同结果，因此跨团队或跨组织比较不可靠。Qualitative Rating 也很难直接转化为预算决策——“High” Risk 并未说明应该为 Controls 支出多少。还可能出现锚定偏差：分析人员根据近期事件而不是客观标准夸大或降低 Rating。

大多数成熟组织会以互补的方式使用两种方法。Qualitative 分析用于初步筛选，以确定哪些 Risk 需要进一步深入调查。随后，对于优先级较高且详细财务建模值得投入的 Risk，再采用 Quantitative 分析。这种混合方法既保留了 Qualitative 评分的速度，也能在最需要的地方发挥 Quantitative 建模的精确性。

Security+ 考试要求您掌握以下公式：SLE = AV × EF 和 ALE = SLE × ARO。考试题目通常会给出包含 Asset Value、Exposure Factor 和发生率的场景，要求您计算 SLE 或 ALE，或者判断某项 Control 是否具有成本效益。您还应能够区分 Qualitative 和 Quantitative 方法，并根据场景限制确定合适的方法。

测试您对本课 CompTIA Security+（SY0-701）相关概念的理解。

在本课中，您学习了：Qualitative 分析使用描述性量表（High/Medium/Low），速度快但具有主观性；Quantitative 分析使用公式（SLE = AV × EF；ALE = SLE × ARO）以金额表示 Risk；ALE 为有关 Security Controls 的成本效益决策提供依据。接下来，我们将探讨四种 Risk 处理选项：accept、transfer、mitigate 和 avoid。