2. 风险量化基础与术语体系
风险量化之所以难，往往不是数学难，而是“语言不统一”。同一个“高风险”，业务部门理解为“影响收入”，安全团队理解为“CVSS 9.8”，管理层理解为“需要立刻批预算”。要建立统一的风险语言，第一步是把关键术语的定义、量纲、输入与输出对齐，让不同角色在同一张表上讨论同一件事。
一、从单次损失到年度期望：ALE 术语链
最经典的一组术语来自传统定量风险分析，它们构成一条清晰的换算链：
- AV（Asset Value，资产价值）：资产对组织的价值，可用重置成本、收入贡献或监管罚金上限等口径表达，单位是货币。
- EF（Exposure Factor，暴露系数）：一次风险事件对资产价值的破坏比例，取值 0～1。例如服务器被勒索加密，若数据可恢复但停机 8 小时，EF 可能只有 0.2；若数据永久损毁，EF 接近 1。
- SLE（Single Loss Expectancy，单次损失期望）：SLE = AV × EF，表示“一次事件平均损失多少钱”。
- ARO（Annualized Rate of Occurrence，年化发生率）：一年内事件发生的期望次数。三年发生一次，ARO ≈ 0.33。
- ALE（Annualized Loss Expectancy，年化损失期望）：ALE = SLE × ARO，即年度风险敞口的货币化表达。
举例：某客户数据库 AV = 200 万元，一次泄露事件 EF = 0.4，则 SLE = 80 万元；若预计每 2 年发生一次，ARO = 0.5，则 ALE = 40 万元/年。这个 40 万元就是后续安全投入是否“划算”的比较基准——若某控制措施年成本 10 万元、能把 ARO 降到 0.1，则新 ALE = 8 万元，年化收益约 32 万元。
二、漏洞视角的量化：CVSS 与 EPSS
ALE 描述“事件级”风险，而 CVSS 与 EPSS 描述“漏洞级”风险，二者常被混用，需要明确区分。
CVSS（通用漏洞评分系统）衡量漏洞本身的技术严重性，当前主流为 CVSS v3.1/v4.0，基础分由攻击向量、攻击复杂度、权限要求、用户交互、机密性/完整性/可用性影响等指标计算，输出 0～10 分。它回答的是“这个漏洞如果被利用，技术上有多严重”，但不回答“会不会被利用”。
EPSS（漏洞利用预测评分系统）基于公开利用数据与威胁情报，输出未来 30 天内该漏洞被利用的概率（0～1）。它回答的是“这个漏洞被实际利用的可能性有多大”。
因此，正确的组合方式是：CVSS 决定影响，EPSS 决定可能性。一个 CVSS 9.8 但 EPSS 0.001 的漏洞，与 CVSS 7.5 但 EPSS 0.6 的漏洞，优先级可能完全相反。实践中常用“CVSS ≥ 7 且 EPSS ≥ 0.1”作为快速筛选条件，再叠加资产重要性做二次排序。
三、FAIR：把风险拆成可讨论的因子
FAIR（Factor Analysis of Information Risk，信息风险因子分析）是目前最主流的定量风险分析框架。它把风险定义为“损失事件的频率与损失幅度的组合”，并进一步拆解为：
- 频率 = 威胁事件频率 × 脆弱性（控制强度）；
- 损失幅度 = 主要损失（响应、替换、罚款等）+ 次要损失（声誉、客户流失、股价等）。
FAIR 的关键贡献是引入概率分布而非单点值。例如 ARO 不是一个数，而是“最可能 0.3、最低 0.1、最高 1.0”的区间；ALE 也以 P10/P50/P90 分位数呈现。这样管理层看到的不再是“40 万元”，而是“有 80% 概率年损失在 15 万～70 万元之间”，决策信息量显著提升。
四、定性、半定量与定量：三种方法的分工
三种方法并非替代关系，而是精度与成本的权衡：
| 方法 | 输出形式 | 典型工具 | 适用场景 |
|---|---|---|---|
| 定性 | 高/中/低、红/黄/绿 | 风险矩阵、德尔菲法 | 快速盘点、初筛、无数据场景 |
| 半定量 | 1～5 分、加权评分 | CVSS、EPSS、OCTAVE | 漏洞排序、控制评估 |
| 定量 | 货币、概率分布 | ALE、FAIR、蒙特卡洛 | 预算决策、重大风险论证 |
实际落地时通常采用“定性初筛 → 半定量排序 → 定量论证”的三级漏斗：先用风险矩阵把资产与威胁快速分类，再用 CVSS/EPSS 对漏洞排序，最后对进入预算讨论的 Top 风险用 FAIR 做货币化建模。这样既避免全量定量带来的巨大成本，又保证关键决策有量化支撑。
五、建立统一风险语言的落地要点
术语对齐之后，还需要在流程上固化，否则又会回到“各说各话”。建议至少做到三点：
- 统一口径表：把 AV、EF、ARO、SLE、ALE、CVSS、EPSS 的定义、单位、取值范围、数据来源写进一页纸，所有报告引用同一版本。
- 标注假设：任何 EF、ARO 取值都注明“基于历史工单”“基于行业报告”或“专家估计”，避免把估计值当成实测值传播。
- 保留区间：定量结果尽量以区间或分位数呈现，例如“ALE 中位数 40 万元，P90 为 95 万元”，让决策者看到不确定性本身。