风险处置：接受、转移、降低与规避

识别并分析 Risk 后，组织必须决定如何应对。Risk 处理是根据每项 Risk 的 Likelihood、Impact 和修复成本，选择并实施响应措施的过程。普遍认可的处理选项有四种：accept、transfer、mitigate 和 avoid。没有哪一种选项始终正确——合适的选择取决于业务环境、Risk 偏好和可用资源。

Risk 缓解通过实施 Security Controls 来降低 Risk 的 Likelihood 或 Impact。这是最常见的处理选项。例如，部署防火墙以降低网络入侵的 Likelihood、修补软件以关闭已知漏洞，或实施 MFA 以降低凭据被盗的 Impact。缓解措施无法彻底消除 Risk——它会产生Residual Risk，在应用 Controls 后必须重新评估。

Risk 转移将 Risk 的财务后果转移给第三方。网络保险是最常见的例子——组织支付保费，保险公司则承担承保事件造成的损失。Risk 也可以通过合同转移：与云服务提供商签订的服务级别协议（SLA）可能将数据泄露的责任交给供应商，合同中的赔偿条款也可以将责任转移给业务合作伙伴。需要注意的是，转移并不会消除 Risk 本身，只会转移财务负担。

Risk 接受是指在明知存在 Risk 的情况下不实施额外 Controls，因为缓解成本超过预期损失，或者该 Risk 低于组织的 Risk 阈值。接受必须由适当的授权人员（通常是 Risk 负责人或管理人员）作出有记录且经过审慎考虑的决定。没有记录的默认接受——因为一直没人处理而忽略 Risk——不等同于正式接受，并会导致审计发现。

Risk 规避通过不参与会产生 Risk 的活动来彻底消除 Risk。例如，组织可以决定不直接存储支付卡数据，从而将所有卡片处理工作委托给第三方令牌化服务，完全避免 PCI-DSS 范围。Risk 规避适用于 Risk 高到无法接受，且不存在具备成本效益的缓解或转移选项的情况，但这也可能意味着放弃某项商业机会。

选择处理选项需要比较 Risk 暴露程度和响应成本。如果 ALE 为 50,000 美元，而缓解措施每年成本为 10,000 美元，那么缓解显然具有成本效益。如果 ALE 为 5,000 美元，而缓解措施每年成本为 30,000 美元，那么接受或转移可能更合理。组织还会考虑Risk 偏好——管理层愿意承受的 Risk 程度——以及Risk 容忍度，即特定 Risk 类别相对于 Risk 偏好的可接受偏差。

Risk 偏好是组织为实现目标而愿意接受的广泛战略层面的 Risk，通常由董事会确定。Risk 容忍度是特定 Risk 类别的可接受变化范围。某组织的总体 Risk 偏好可能较低，但对某条产品线中的声誉 Risk 具有较高容忍度。这些阈值决定何时适合接受 Risk，以及何时必须上报升级。

当理想的缓解 Control 因成本、技术限制或 Legacy 系统而无法实施时，补偿性 Control可以通过其他方式降低 Risk。例如，如果旧系统不支持 MFA，可以通过加强监控、网络隔离和额外的日志记录来进行补偿。PCI-DSS 及其他框架正式认可补偿性 Controls 是有效的 Risk 处理方式，前提是必须记录 Justification，并获得适当授权人员的批准。

应用任何 Risk 处理措施后，几乎总会有一部分 Risk 继续存在。Residual Risk是 Controls 到位后剩余的 Risk。Risk 负责人必须正式确认并接受它。如果 Residual Risk 仍高于可接受阈值，就需要增加 Controls。Risk 处理决策和 Residual Risk 等级应记录在 Risk 登记册中，并按规定的时间间隔进行审查，尤其是在威胁形势发生变化时。

合规框架会限制哪些风险处置选项是可接受的。HIPAA不允许组织规避受保护健康信息的处理——组织必须对其进行缓解或转移。PCI-DSS要求实施特定的控制措施，无论成本效益分析结果如何。了解这些限制有助于避免这样的情况：组织偏好的处置选项（例如接受控制缺口）违反了监管要求，从而可能导致罚款或失去银行卡处理资格。

风险处置同样适用于第三方与供应链风险。当供应商或合作伙伴能够访问您的系统或数据时，其安全状况就会成为您风险状况的一部分。处置选项包括：合同控制措施（转移）、供应商安全评估（缓解）、选择替代供应商（规避），或者通过定期审查正式接受风险。供应链遭到入侵的事件（SolarWinds、XZ Utils）说明了为什么第三方风险管理是 Security+ 考试的重点。

测试您对本课 CompTIA Security+（SY0-701）概念的理解。

本课中，您学习了以下内容：风险缓解通过控制措施降低风险发生的可能性或影响；风险转移将财务后果转移给保险公司等第三方；风险接受是以文件记录的方式决定容忍某项风险；风险规避则通过不开展相关活动来消除风险。接下来，我们将介绍主要的安全框架：NIST RMF、ISO 27001 和 CIS Controls。