CISP学习指南：风险评估与计算

风险评估是风险管理的核心环节，通过定性和定量方法识别、分析和评价风险。

三、风险评估

3.1 风险评估方法

三种方法详细对比：

定性风险分析的标准流程：
├── 1. 准备阶段
│   ├── 确定评估范围
│   ├── 组建专家团队
│   ├── 制定评估标准
│   └── 准备评估工具
├── 2. 识别阶段
│   ├── 识别资产
│   ├── 识别威胁
│   └── 识别脆弱性
├── 3. 分析阶段
│   ├── 评估可能性（高/中/低）
│   ├── 评估影响（高/中/低）
│   └── 使用风险矩阵
├── 4. 评价阶段
│   ├── 确定风险等级
│   ├── 风险排序
│   └── 识别不可接受风险
└── 5. 报告阶段
    ├── 编写评估报告
    ├── 提出处置建议
    └── 管理层审批

定性分析的评估标准示例：

半定量分析的赋值方法：
可能性赋值：
├── 高：3分
├── 中：2分
└── 低：1分
影响赋值：
├── 高：3分
├── 中：2分
└── 低：1分
风险值计算：
风险值 = 可能性分值 × 影响分值
示例：
├── 威胁A：可能性=高(3) × 影响=中(2) = 6
├── 威胁B：可能性=中(2) × 影响=高(3) = 6
└── 威胁C：可能性=低(1) × 影响=低(1) = 1
风险等级划分：
├── 7-9分：高风险
├── 4-6分：中风险
└── 1-3分：低风险

三种方法的选择建议：

综合风险评估方法：
├── 第一阶段：定性评估
│   ├── 快速识别主要风险
│   ├── 确定评估范围
│   ├── 初步优先级排序
│   └── 决定是否需要定量评估
├── 第二阶段：半定量评估
│   ├── 对定性结果量化
│   ├── 便于比较和排序
│   ├── 支持决策
│   └── 识别高风险项
├── 第三阶段：定量评估（针对高风险）
│   ├── 收集详细数据
│   ├── 计算ALE
│   ├── 投资决策分析
│   └── 制定详细计划
└── 第四阶段：持续监控
    ├── 跟踪实际损失
    ├── 更新评估参数
    ├── 调整安全措施
    └── 重新评估

3.2 风险评估流程

风险评估的三个步骤：

3.2 风险识别

风险识别的核心任务：

威胁识别和赋值流程：
├── 1. 获取资产列表
│   └── 依据已有的资产列表
├── 2. 识别威胁
│   ├── 分析威胁主体（谁）
│   ├── 分析威胁动机（为什么）
│   └── 分析威胁途径（怎么做）
├── 3. 评估可能性
│   ├── 分析威胁发生的概率
│   └── 考虑各种影响因素
├── 4. 评估影响
│   ├── 分析造成损失的严重程度
│   └── 考虑对业务的影响
└── 5. 威胁赋值
    ├── 根据可能性和影响赋值
    └── 形成威胁列表

威胁分类：

威胁分类：
├── 自然威胁
│   ├── 地震、洪水
│   ├── 火灾
│   └── 极端天气
├── 人为威胁
│   ├── 恶意攻击
│   ├── 误操作
│   └── 内部威胁
├── 技术威胁
│   ├── 硬件故障
│   ├── 软件缺陷
│   └── 网络故障
└── 环境威胁
    ├── 电力中断
    ├── 温度异常
    └── 湿度异常

脆弱性识别：

• 🔓 技术脆弱性：系统漏洞、配置错误
• 📋 管理脆弱性：制度缺失、流程不完善
• 🏢 物理脆弱性：环境控制不足
• 👥 人员脆弱性：安全意识不足、技能缺乏

3.3 风险分析

风险分析的核心：

3.4 风险评价

风险评价的目标：

• 📊 确定风险等级
• 🎯 识别不可接受的风险
• 📋 为风险处置提供依据
• 🔄 支持风险决策 风险等级划分： | 风险等级 | 描述 | 处置优先级 | 建议措施 | |---------|------|-----------|---------| | 极高 | 必须立即处理 | 最高 | 立即采取措施 | | 高 | 需要尽快处理 | 高 | 制定处置计划 | | 中 | 需要关注 | 中 | 定期评估 | | 低 | 可以接受 | 低 | 持续监控 |

四、定量风险评估

4.1 定量风险评估概述

定量风险评估使用数值来表示风险，可以更精确地计算风险大小和损失预期。 定量风险评估的关键指标：

4.2 定量风险评估计算公式

核心公式：

SLE = AV × EF

• AV（Asset Value）：资产价值
• EF（Exposure Factor）：暴露系数（损失比例）
• SLE（Single Loss Expectancy）：单次损失期望 📈 年度预期损失（ALE）

ALE = SLE × ARO

• SLE：单次损失期望
• ARO（Annualized Rate of Occurrence）：年度发生率
• ALE（Annualized Loss Expectancy）：年度预期损失 完整公式：

ALE = AV × EF × ARO

4.3 实际计算示例

案例：机房火灾风险计算

SLE = AV × EF
SLE = 400万元 × 25%
SLE = 400万元 × 0.25
SLE = 100万元

步骤2：计算年度预期损失（ALE）

ALE = SLE × ARO
ALE = 100万元 × 0.2
ALE = 20万元

结论：年度预期损失（ALE）= 20万元人民币 计算过程图示：

4.4 定量评估的应用

定量评估的价值：

场景：是否部署防火墙系统
当前风险：
- 资产价值（AV）：1000万元
- 暴露系数（EF）：30%
- 年度发生率（ARO）：0.5
- 当前ALE = 1000 × 0.3 × 0.5 = 150万元
部署防火墙后：
- 暴露系数降低到（EF）：10%
- 年度发生率降低到（ARO）：0.1
- 新ALE = 1000 × 0.1 × 0.1 = 10万元
投资分析：
- ALE降低：150 - 10 = 140万元/年
- 防火墙成本：50万元（一次性）+ 10万元/年（维护）
- 第一年净收益：140 - 50 - 10 = 80万元
- 投资回报期：< 1年
- 结论：值得投资

4.5 定量评估的局限性

定量评估的挑战：

4.6 风险值计算方法

在风险评估中，需要为每个资产计算风险值。风险值的计算基于资产、威胁和脆弱性的组合。

五、总结