《供应链安全风险评估实战》
第2章 风险评估基础理论
2、风险评估基础理论
在供应链安全领域，风险评估是识别、分析和评价风险的过程，是制定安全策略与实施管控措施的基石。本节将系统阐述风险的核心定义、构成要素以及主流的评估方法论，帮助学员建立扎实的理论框架。
2.1 风险的定义
风险 在信息安全与供应链安全语境下，通常被定义为：“特定威胁利用资产脆弱性，对组织造成损害的可能性与影响程度的组合”。简单来说，风险 = 可能性 × 影响。
理解风险时需注意：风险是客观存在的，但风险评估的结果带有主观判断；风险管理的目标不是消除所有风险，而是将风险控制在可接受的范围内。
2.2 风险评估的要素（资产、威胁、脆弱性）
风险评估的三大核心要素构成了风险分析的基础三角，三者缺一不可：
| 要素 | 定义 | 供应链安全示例 | 关键属性 |
|---|---|---|---|
| 资产 | 对组织具有价值的任何事物 | 源代码、供应商数据、物流系统、芯片设计图纸 | 机密性、完整性、可用性 (CIA) |
| 威胁 | 可能对资产造成损害的潜在原因或行为 | 恶意软件植入、供应链劫持、内部人员泄密、自然灾害 | 威胁源、动机、能力、途径 |
| 脆弱性 | 资产或控制措施中可被威胁利用的弱点 | 未打补丁的固件、弱访问控制、不安全的第三方组件 | 严重程度、可利用性、暴露程度 |
💡 供应链安全视角： 在供应链中，资产往往跨越组织边界（如供应商的代码库），威胁可能来自上游的恶意篡改，脆弱性则可能隐藏在第三方依赖中。因此，三要素的识别范围必须扩展到整个供应链生态。
2.3 风险评估方法论（定性、定量、半定量）
根据评估的深度与数据特征，风险评估方法论主要分为以下三种：
| 方法论 | 核心特点 | 常用技术/工具 | 适用场景 |
|---|---|---|---|
| 定性分析 | 使用等级描述（高/中/低），依赖专家判断 | 德尔菲法、风险矩阵、头脑风暴、SWOT | 初步评估、资源有限、数据不充分时 |
| 定量分析 | 使用数值与货币单位，基于统计与数学模型 | ALE（年预期损失）、蒙特卡洛模拟、FAIR模型 | 需要精确成本效益分析、保险精算 |
| 半定量分析 | 结合等级与权重，通过评分计算风险值 | 加权评分法、风险指数、CVSS评分 | 需要一定量化但又无法完全量化的场景 |
三种方法的详细对比
- 定性分析：快速、低成本，适合初步筛选风险。例如使用风险矩阵将“可能性”与“影响”分为高/中/低三档，交叉得出风险等级。缺点是主观性强，不同评估者结果可能差异较大。
- 定量分析：精确、可重复，适合重大决策。例如计算年预期损失（ALE = 年发生率 × 单次损失金额）。缺点是数据收集困难，模型复杂，对中小企业不友好。
- 半定量分析：折中方案，通过为每个因素分配权重和分数，计算综合风险值。例如CVSS（通用漏洞评分系统）就是典型的半定量方法，广泛用于供应链漏洞评估。
半定量计算示例（CVSS 3.1 简化版）：
基础评分 = 0.85 × 攻击向量(AV) × 攻击复杂度(AC) × 权限要求(PR) × 用户交互(UI)
× 机密性影响(C) × 完整性影响(I) × 可用性影响(A)
其中各因子取值：
AV: 网络=0.85, 相邻=0.62, 本地=0.55, 物理=0.20
AC: 低=0.77, 高=0.44
PR: 无=0.85, 低=0.62, 高=0.27
UI: 无=0.85, 需要=0.62
C/I/A: 高=0.56, 低=0.22, 无=0
最终评分范围：0.0 - 10.0
📌 供应链安全建议： 在实际供应链风险评估中，推荐采用半定量方法作为主要手段。它既能提供相对客观的数值排序，又不需要过于复杂的数据模型，适合在供应商评估、第三方组件风险评级等场景中使用。对于关键供应商或核心组件，可进一步采用定量分析进行深度评估。
本节要点回顾
- ✅ 风险 = 可能性 × 影响，是威胁、脆弱性与资产价值的复合函数
- ✅ 三大要素：资产（有价值的事物）、威胁（潜在危害源）、脆弱性（可被利用的弱点）
- ✅ 定性分析快速主观，定量分析精确但成本高，半定量是供应链安全的最佳实践
- ✅ 选择方法论时应综合考虑数据可用性、资源投入与决策需求