网络安全测量入门：不确定性和风险的定义及其测量

不确定性和风险的定义及其测量

不确定性：缺乏完全的确定性，即存在不止一种可能性。“真实”结果/状态/结果/值未知。

不确定性的测量：分配给一组可能性的一组概率。例如：“未来五年内发生数据泄露的可能性为20%。”

风险：一种不确定的状态，其中一些可能性涉及损失、灾难或其他不良结果。

风险衡量：一组可能性，每种可能性都有量化的概率和量化的损失。例如：“我们认为数据泄露有10%的可能性会导致超过1000万美元的法律责任。”

我们将解释如何分配这些概率（首先使用您将在第7章中学到的技能），但至少我们已经定义了我们的意思-这始终是测量的先决条件。我们选择这些定义是因为它们与我们如何衡量此处使用的示例最相关：安全性和安全性的价值。但是，正如我们将看到的，在讨论我们遇到的任何其他类型的测量问题时，这些定义也是最有用的。

既然我们已经定义了“不确定性”和“风险”，我们就有了一个更好的工具箱来定义“安全”（或“安全”、“可靠性”和“质量”，稍后会详细介绍）。当我们说安全性得到改善时，我们通常是指特定风险已经减少。如果我应用前面给出的风险定义，风险的降低必然意味着特定事件列表的概率和/或严重性（损失）降低。这就是前面提到的帮助衡量一些非常大的IT安全投资的方法，包括为退伍军人事务部进行1亿美元的IT安全检修。

简而言之，弄清楚你的意思是什么以及你如何实际观察它，你就已经成功测量了一半。后面将更深入地探讨定义网络安全可观察后果的方法、如何分解网络安全事件的影响以及如何澄清必要的决策。（在那里你会发现我们将再次参考朗·霍华德在决策分析方面的工作。）

原文始发于微信公众号（河南等级保护测评）：网络安全测量入门：不确定性和风险的定义及其测量