风险

威胁、资产和漏洞的交集就是您的风险

风险是指由于事件、事故或情况而导致不希望发生或不利后果的可能性，其判断标准是特定威胁利用特定漏洞的可能性及其相关后果。

风险是资产面临的威胁和脆弱性的组合。在商业领域，风险的计算基于三个不同的类别。 

• ARO– 年发生率（事件发生的概率）
• 系统性红斑狼疮– 单次损失预期（如果发生事故，预计损失的金额）
• 但– 年度损失预期（应为事故预算多少）

年度损失预期值是使用以下公式计算的：ARO x SLE = ALE。

• 例如：发生勒索软件攻击的可能性为 50%，如果发生攻击，公司将损失 1,000,000 美元。 
• ARO x SLE = ALE -> (0.5) x (1,000,000) = $500,000 -> $500,000 是年度损失预期

资料来源：DHS 风险词典、NIPP 并改编自：CNSSI 4009、FIPS 200、NIST SP 800-53 Rev 4、SAFE-BioPharma 证书政策 2.5

相关术语：威胁、漏洞

要了解有关网络风险的更多信息，请观看此简短视频：