如何将量化风险评估转化为实际行动

最后更新日期：2025年4月15日

安全

摘要

量化风险评估将网络安全风险转化为财务术语。
您可以使用量化风险评估的输出结果来决定风险应对策略：规避风险、接受风险、转移风险或缓解风险。
风险偏好框架可帮助您处理风险应对策略不明确的复杂或模糊情况。
这些流程共同帮助组织在安全需求与业务目标之间取得平衡。

量化风险评估提供了一种客观的风险分析方法——但理解风险只是第一步。本文将详细解析如何解释评估结果，并将这些见解转化为实际环境中的有效决策。
（虽然本文不涉及如何执行量化风险分析，但您可以通过我们的《数据驱动风险评估指南》深入了解该过程。）

理解风险量化

首先——什么是量化风险评估？

什么是风险量化？

量化风险评估（有时缩写为QRA）根据网络安全风险的潜在影响和发生概率，为其分配美元价值。它提出一个问题：如果该资产通过此漏洞暴露，我们将损失多少？与将风险按严重程度分类的定性方法相比，量化方法提供了更客观的图景。

为什么这很重要？定性网络安全风险评估留出了更多解释空间。将风险转化为业务语言（即美元和美分）可以消除大部分模糊性，并帮助非安全领导者理解“高”风险在上下文中的真正含义。

风险量化如何融入更广泛的网络安全战略？

量化风险是管理风险暴露的重要工具，但它不是最终目标。相反，它为风险缓解决策奠定了基础。

例如，当您能够将风险暴露呈现为“由于供应商使用未加密的云通信，可能造成150万美元的损失”时，就更容易权衡应对该风险的选项，本文后面将详细探讨这一点。

解释量化风险分析：关键要素

为了解释量化风险分析的结果，需要理解几个关键要素：

• 资产价值（AV）：受保护资产对组织的价值。
• 暴露因子（EF）：如果风险发生，可能损失或受损的资产价值百分比。
• 年度发生率（ARO）：您预计该风险每年发生的频率。（对于每年发生次数少于一次的风险，该值可能小于1。）

这三个数字允许您计算：

• 单次损失期望（SLE）：如果风险发生，单次威胁事件中将损失的财务价值。计算公式为：AV x EF。
• 年度损失期望（ALE）：如果风险发生，每年将损失的财务价值。计算公式为：SLE x ARO。
• 残余ALE：应用缓解措施后，如果风险发生，每年将损失的财务价值。缓解措施会降低EF、ARO或两者，但计算方式保持不变。

ALE是风险分析的主要输出，也是您权衡风险应对选项的最重要数字。但它不是一个完美的数字，这就是为什么还有一个关键要素：不确定性。

AV、EF和ARO都是估计值。理想情况下，它们是基于仔细研究的非常接近的估计值，但仍然是估计值。对这些估计值的置信水平通常由置信水平（例如80%）表示，后跟未知因素列表。

理论与实践结合：风险应对

到目前为止，我们已经介绍了如何解释量化风险评估。但风险分析的最终目的是决定如何处理该风险。

所有风险应对策略大致分为四类：规避、接受、转移或缓解。

规避

规避风险意味着完全消除暴露。这是唯一真正将风险降至零的风险应对策略。实际上，这意味着关闭承担风险的流程或系统。

规避基本上是一种核选项，很少可行。例如，您可以通过关闭所有外部电子邮件交换来将网络钓鱼风险降至零。如果您处理的是国家安全事务，这可能实际上值得。对于我们其他人来说，这将使业务运营戛然而止。

在两种情况下，您的风险分析可能支持此应对策略：如果ALE极端到没有任何缓解策略可以将其降至可接受水平，或者如果存在承担风险的流程或系统的1:1替代方案，可以将EF或ARO降至零。

接受

接受风险意味着选择不采取任何行动。虽然这乍听起来可能不合理，但这是一个值得认真考虑的选项。

有一个非常直接的情景，接受风险是您的最佳选择：当缓解成本超过残余ALE（即缓解后的ALE）时。在这种情况下，保护组织的成本高于可能损失的成本。

但还有一些更复杂的情况，接受风险是有意义的。这些情况考虑了缓解风险的机会成本，无论是 narrowly focused on the security team 还是整个业务的机会成本。

没有安全团队拥有无限资源。如果选择缓解此风险意味着将资源从解决更令人担忧的暴露中转移开，那么接受是一个合理（如果不舒服）的选项。特别是当缓解策略非常手动且需要大量员工时间来实施时，他们不做什么才能将时间投入这项工作？

还有一个更广泛的机会成本需要考虑，即为了缓解或避免风险，业务必须放弃哪些机会。换句话说，当业务机会大于ALE时，接受可能是有意义的。例如，如果您在外国开设数据中心以向新市场提供云服务，就会出现这种情况。虽然它使您面临新的安全风险，但存在明显的业务利益。

转移

转移风险意味着将负担转嫁给另一方，通常是网络安全保险。广义上讲，当保险成本低于您的ALE时，将风险转移给保险是一个选项——但有一些注意事项。

首先，保险只涵盖安全事件的财务成本。安全事件还涉及法律和声誉损害。如果您的ALE考虑了这些损害并为其分配了美元价值（理想情况下应该如此），那么您需要分解该数字，仅查看直接财务成本。当财务风险高但法律和声誉风险低时，转移风险是有意义的。

其次，保险几乎肯定要求您实施一些安全控制措施，并且可能还会停止对重复事件的承保。这意味着您需要将这些控制措施的成本添加到保险成本中，可能会改变您的计算。这也意味着将风险转移给保险只能作为高ARO风险的临时措施。

缓解

缓解是您最主动的应对策略，通过应用安全控制、修补漏洞、纠正错误配置等来减少暴露。

缓解不会消除您的暴露——唯一的方法是完全规避风险。相反，缓解通过采取措施降低EF、ARO或两者来降低风险。然后您可以计算一个新的ALE，称为残余ALE。

通常，当原始ALE与残余ALE之间的差异大于缓解成本时，缓解是一个强有力的选项。

纳入风险偏好（或如何处理边缘情况）

并非每个风险评估都会为您提供明确的应对选择。总会有两种情况：两种选项之间的边际很小或不确定性水平很高。纳入风险偏好将帮助您理解这些边缘情况。风险偏好通常不是风险分析的一部分，但它是解释该分析的有用框架。

（如果您的组织尚未记录其风险偏好，您可以使用此可编辑的风险偏好声明模板作为起点。）

风险偏好是组织为实现其目标而愿意接受的风险水平。高风险偏好意味着愿意接受更大的风险以获取可能更高的回报，而低风险偏好意味着您更喜欢尽可能降低风险。风险偏好存在于多个维度：您可能对操作风险有高偏好，但对合规风险有低偏好。

在这些维度（安全风险、合规风险、创新风险等）中的每一个内，有几个关键因素需要考虑：

• 风险容量是组织可以承担的最大风险量，通常由财务资源、运营能力和监管限制决定。
• 风险容忍度是与其目标的可接受偏差。
• 风险阈值是表示需要改变策略的“红线”。

容忍度与容量之间的阈值，甚至容忍度程度之间的阈值，可以帮助您梳理灰色区域，在这些区域中，不清楚哪种是适当的风险应对策略。

将见解转化为行动

理解量化风险评估只是第一步——真正的价值在于利用这些见解采取行动。无论是风险规避、接受、转移还是缓解，目标都是一样的：平衡安全风险与业务优先级，以便您能够采取果断行动。

常见问题解答

什么是量化风险评估？
量化风险评估（有时缩写为QRA）是一个正式过程，根据网络安全风险的潜在影响和发生概率，为其分配财务价值。

什么是年度损失期望？
年度损失期望是量化风险评估的主要输出。它是如果此风险发生，每年将损失的财务价值。计算公式为：单次损失期望（SLE）x 年度发生率（ARO），其中单次损失期望是资产价值（AV）x 暴露因子（EF）。

什么是风险偏好？
风险偏好是组织为实现其目标而愿意接受的风险水平。它通过提供一个评估安全风险与业务优先级之间权衡的框架来影响风险应对决策。