定義和術語

1. 一般條款：
   • 風險：損失的可能性
   • 殘留風險：控制後仍然存在的風險
   • 總風險：
   • 風險管理：總體決策過程
     1. 識別威脅和漏洞及其影響
     2. 確定降低成本
     3. 決定採取什麼行動
   • 資產：經營業務所需的資源和訊息
   • 脆弱性：威脅可以使用的資產特徵
   • 攻擊：
     • 影響：損失
     • 威脅：任何可能損害資產的東西
     • 減輕：減少
     • 控制：檢測 → 預防 → 緩解
   • 風險評估（無緩解措施，著重影響）：
     1. 分析以識別風險
     2. 減輕影響的行動以確定影響
     3. 數值化
        • 定性風險評估：主觀決定
        • 定量風險評估：客觀，高度依賴歷史數據
        • 單一預期損失（SLE）：每次威脅發生的影響
        • 風險曝險因子：資產損失的幅度，資產損失的百分比
          SLE = 資產價值 * 曝險係數
        • 年發生率（ARO）：預計每年發生的事件的頻率
          ARO = 事件數 / 年數
        • 年度預期損失（ALE）：事件每年損失多少費用
          ALE = SLE * ARO
2. 風險管理聲明：
   • 資產與威脅：影響力
   • 脆弱性與緩解：概率

風險類型

1. 系統性與非系統性
   • 可預測性
2. 商業與技術
   • 業務風險：
     • 財務：國庫，收入，合同，欺詐
     • 法規：安全，隱私，業務運營法規
     • 業務連續性：從災難中恢復
     • 技術：在決策和管理級別
   • 技術風險：
     • 安全和隱私：用於實施的技術會帶來相應的風險
     • 項目管理風險：與項目管理一起開發的軟體，因此具有相應的風險
     • 改變管理風險：軟體在不斷變化
3. 風險控制
   • 控制動作的類型：
     • 行政的
     • 技術
     • 物理
   • 對於每個操作，控件類型：
     • 預防：主要防止攻擊
     • 偵探：檢測和記錄攻擊，例如日誌
     • 糾正：糾正，恢復並減少影響
     • 補償：在主要裝備失敗時做好工作，深入防禦

定性風險管理

• 專家判斷和經驗
• 快速確定風險的優先級，無需準確量化
• 威脅的影響和發生的可能性
• 訊息表達式可以是：
  • 定性矩陣
  • 故障模式影響分析：嚴重性，概率和可檢測性為1-10

量化風險管理

1. 年度預期損失模型
   • 單一損失預期(SLE)：
     SLE =資產價值 * 曝險係數
   • 年發生率(ARO)：
     ARO =事件數 / 年數
   • 年損失(ALE)：
     ALE = SLE * ARO
2. 剩餘風險模型
   將風險降低

治理，風險與合規

1. 法規與合規
   • 規定，可以是內部或外部的：
     • 根據合同
     • 基於政策或戰略措施
     • 由組織定義
     • 法規或法律
   • 合規 → 外部要求
   • 符合性 → 內部要求
2. 合法：
   • 知識產權（IP）
   • 資訊洩露：
     • 個人身份信息（PII）
       通過加密保護，以滿足PCI DSS
     • 在丟失之前保護數據，例如加密
3. 標準

風險管理模型

• 通用模型：
  • 資產識別
  • 威脅評估
  • 影響分析
  • 控制設計與評估
  • 剩餘風險管理
• 能力成熟度模型（SEI）模型：
  • 確定
  • 分析
  • 計劃
  • 跟踪
  • 控制