CISP学习笔记2：风险管理1

 

最常用的公式是单一损失期望（single loss expectancy，SLE） 和年度损失期

望（annual loss expectancy，ALE）。

SLE是为某个事件赋予的货币价值，表示特定威胁发生时公司潜在损失的金额：

资产价值*暴露因子=SLE

暴露因子（Exposure Factor，EF）表示某种特殊资产被已发生的风险损坏所造

成损失的百分比。例如，如果某个数据仓库的资产价值为150000美元，发生火

灾后，该数据仓库大约有25% 的价值遭到破坏，那么SLE 就是37500 美元。

资产价值（150000）* 暴露因子（25%）=37500

这个结果告诉我们，如果该公司发生火灾，可能损失37500 美元。但由于按年

度制定和使用安全预算，所以需要知道年发生比率是多少。这是需要用到ALD

公式，即：

SLE*年发生比率=ALE

年发生比率（ARO）表示一年时间内发生特定威胁的预计频率。该值的范围可

以是从0.0 （不发生）到1.0 （一年一次）乃至大于1 的数字（一年若干次）之

间的任何值。例如，如果数据库发生火灾并造成损坏的概率是十年一次，那么

ARO值是0.1。

因此，如果公司的数据仓库设施发生火灾可能造成37500 美元的损失，发生火

灾的频率即ARO值为0.1 （表示10 年发生一次），那么ALE 值就是3750 美元

（37500 * 0.1 = 3750）

 

 

 

风险转移： 如果公司觉得总风险或剩余风险太大，无法承担，那么可以购买保

险，也就是将风险转移给保险公司。

风险规避： 如果公司决定终止引入风险的活动，那么这种行为称为风险规避。

例如，如果某公司允许员工使用即时通信（IM）工具，那么可能带来与这种技

术相关的许多风险。因为没有足够多的业务需求要求继续使用即时通信服务，

所以该公司可能会决定不允许用户进行任何IM活动。停止IM服务就是风险规避

的示例。

风险缓解： 就是风险被降低至可接受的级别，从而可以继续开展业务。安装防

火墙、进行培训以及部署入侵/检测保护系统，这些都是典型的风险缓解方式。

接受风险： 这意味着公司理解自己所面临的风险级别以及风险带来的潜在损失，

并且决定在不采取任何对策的情况下接受风险。在成本/收益率表明采取对策的

成本超出潜在的损失价值时，许多公司都会接受风险。

剩余风险与总风险不同，总风险指的是公司在不实现任何防护措施的情况下所

面临的风险。如果成本/收益分析的结果表明最好不采取任何动作，那么组织就

可能选择接受总风险。例如，如果某公司的Web 服务器发生问题的可能性很小，

而提供更高级别的保护所需的成本将会超过该风险造成的潜在损失，那么该公

司就会选择不实现防护措施，从而承担了总风险。