一句話摘要：
CVSS 分數告訴你漏洞有多嚴重，但沒有任何一位 CFO 會為「嚴重程度」批預算，他們要的是機率乘上金額的期望損失；FAIR 模型與 ALE，就是把「高風險」翻譯成貨幣單位的那把尺。

為什麼這件事對企業很重要？

多數資安團隊的優先順序邏輯是「CVSS 分數由高到低排」，這在工程端合理，但放到董事會語言裡完全站不住腳。CVSS 只描述技術嚴重度，不描述發生機率、不描述資產價值、更不描述業務衝擊。於是常出現「9.8 分的漏洞卡在內網孤島系統、根本打不到」，卻排在「6.5 分但直接暴露在核心交易 API」前面修補的荒謬排序。

第一線 IT/SecOps 心聲： 「我把所有 9 分以上的漏洞都列出來要資源，結果老闆問我『這些漏洞真的會被打嗎？打了會怎樣？』我答不出來，因為 CVSS 根本沒告訴我這件事。」

決策層 / 業務單位迷思： 「你們每次都說『很嚴重』，但去年也很嚴重、前年也很嚴重，到底嚴重是會讓公司倒閉，還是像感冒一樣忍一忍就過去？」

當風險描述停留在形容詞層次，經營層永遠無法做出理性的資源分配決策，資安投資也就永遠淪為「感覺對」而非「算出來對」。

技術觀念與治理機制拆解

FAIR（Factor Analysis of Information Risk）是目前業界少數能把資安風險轉換成財務期望值的量化模型，核心產出是 ALE（Annualized Loss Expectancy，年化預期損失）：

ALE = 事件發生頻率（LEF） × 單次損失金額（LM）

這個公式看似簡單，但關鍵在於拆解過程，FAIR 不是叫你隨口猜一個數字，而是透過結構化拆解，把模糊的「風險」拆成可估算的變數：

【FAIR 模型風險拆解結構】

• 年化預期損失（ALE） 由以下兩大要素相乘得出：
  1. 損失事件頻率（LEF）：由「威脅事件頻率（TEF）」與「脆弱性（Vulnerability）」共同決定。
  2. 單次損失金額（LM）：包含以下兩種損失：
     • 主要損失（Primary Loss）：如營運中斷、復原成本。
     • 次要損失（Secondary Loss）：如商譽受損、客戶流失、合規罰款。

實務操作上，我會建議團隊用區間估算法（範圍值而非單一數字），因為資安風險本質上是不確定的，強行給出一個精準數字反而會失去可信度。

以下是傳統 CVSS 排序與 FAIR 量化排序的實務差異：

實務估算範例（去識別化）：

【風險估算工作表節錄】

• 風險情境： 核心訂單 API 遭 SQL Injection 攻擊
• 威脅事件頻率： 每年 3-5 次嘗試（依 WAF 日誌統計）
• 脆弱性評級： 中等（已部署 WAF，但規則覆蓋率 70%）
• 損失事件頻率估算： 每年 0.5-1.5 次成功事件
• 單次損失金額評估：
  • 主要損失： 事故應變 NT$ 150萬 - 300萬／系統復原 NT$ 80萬 - 200萬
  • 次要損失： 客戶流失 NT$ 300萬 - 600萬／合規罰款 NT$ 100萬 - 500萬（個資法）
• 年化預期損失（ALE）區間： NT$ 630萬 - 1,600萬 / 年
• 建議投資方案： NT$ 200萬（WAF 規則優化 + API 閘道升級）
• 投資報酬率（ROI）佐證： 投資回收比 3.15x - 8x

這份工作表的價值在於：它把「這個漏洞很嚴重」變成「不修補一年可能虧 630 萬到 1600 萬，修補只要 200 萬」，任何一位 CFO 看到這種對照，決策速度會快非常多。

實務落地與溝通建議

• For 第一線 SecOps / IT 團隊： 不需要一開始就對全公司資產做 FAIR 分析，先挑 3-5 個「業務關鍵系統」試算，用區間估算（樂觀值/悲觀值）取代精準數字，避免被質疑「這數字哪來的」而失去信任。
• For CISO / IT 主管 / 決策者： 開會時把 ALE 區間與修補投資金額並列成一張投報率對照表，直接問董事會「你要選擇年化風險 800 萬，還是投資 200 萬把它壓到 80 萬？」把決策題目簡化成財務選擇題，而非技術是非題。

實戰行動清單：

• 挑選公司前 3 大業務關鍵系統，建立 FAIR 風險估算初版。
• 為每個高風險項目補上「主要損失」與「次要損失」兩欄金額區間。
• 製作一頁式 ALE vs. 修補投資對照表，作為預算會議標準附件。
• 訓練團隊用「機率 × 金額」取代「分數高低」作為口頭報告開場句。

懂事掌短評

CVSS 是工程師的尺，ALE 是給老闆看的尺。兩種尺量的都是同一個風險，差別只在單位，一個是分數，一個是錢。學會把分數換算成金錢，你在會議桌上講的每一句話，才會真正被聽進去。

現場挑戰問題

你的團隊目前排修補優先順序時，主要依據是 CVSS 分數，還是有嘗試過結合業務衝擊評估？如果要導入 FAIR，你覺得最大的阻力會來自資料不足，還是跨部門不願意配合估算？

【明日 DAY 03 痛點預告】
你以為只要數字夠嚇人，董事會就會點頭批預算？現實是：簡報邏輯錯了，數字再驚悚也沒用。明天拆解 Board Pitching 的黃金結構，教你如何在 5 分鐘內讓一群不懂技術的人，做出對的資安決策。