Kvantitativ risikoanalyse

Den klassiske lærebogsmodel, som kendes fra CISSP-pensum, bruger punktestimater. Single loss expectancy er aktivets værdi gange eksponeringsfaktoren (SLE = AV × EF), altså den andel af værdien, der går tabt ved én hændelse; annualised loss expectancy er SLE gange den forventede årlige hyppighed (ALE = SLE × ARO). En kontrol kan betale sig, når ALE før minus ALE efter, minus kontrollens årlige omkostning, er positiv. Regnestykket er enkelt, men et enkelt ALE-tal skjuler tabets form: En hændelse, der forventes én gang på hundrede år og koster 50 millioner, har en ALE på 500.000, det samme som en irritation til 50.000, der sker ti gange om året, men kun den første kan true organisationens overlevelse.

Moderne praksis erstatter punkter med fordelinger. FAIR (Factor Analysis of Information Risk), som The Open Group har udgivet som Open FAIR-standarderne O-RT (risikotaksonomi) og O-RA (risikoanalyse), opdeler risiko i tabshændelsesfrekvens og tabets størrelse. Tabshændelsesfrekvensen er trusselshændelsesfrekvensen gange sårbarheden, dvs. sandsynligheden for, at en trusselshændelse bliver til en tabshændelse; tabets størrelse deles i primært tab, som bæres direkte, og sekundært tab, der opstår som følge af interessenternes reaktioner, fx bøder, retssager og kundeflugt. Hver faktor skønnes som et interval, typisk minimum, mest sandsynligt og maksimum, der indgår i en PERT- eller lognormalfordeling, og Monte Carlo-simulering giver en tabsoverskridelseskurve (loss exceedance curve), der viser sandsynligheden for, at det årlige tab overstiger et givet beløb.

Det er kurven, der gør metoden brugbar til beslutninger: Den kan sammenholdes med en kurve for risikoappetitten fastsat af ledelsen, bruges til at sammenligne kontroller efter, hvor meget de flytter kurven, og aflæses i halen, når forsikringssum og selvrisiko skal vælges. Hubbard og Seiersens How to Measure Anything in Cybersecurity Risk argumenterer for, at kalibrerede ekspertskøn, udtrykt som 90 %-konfidensintervaller af folk, der er trænet i hverken at være over- eller undersikre, giver bedre resultater end ordinal scoring, selv med sparsomme data.

Svaghederne er praktiske snarere end teoretiske. Gode frekvensdata er sjældne, så skønnene hviler på egen hændelseshistorik, branchestudier af tab og skadesdata fra forsikring, som ikke nødvendigvis passer til organisationen; resultaterne kan se autoritative ud, selv om inputtet er svagt; korrelerede tab, fx et nedbrud hos én cloududbyder, der rammer mange processer på én gang, modelleres let fejlagtigt som uafhængige; og indsatsen betyder, at de fleste organisationer kun kvantificerer nogle få toprisici. Resultatet er en model af usikkerhed, ikke en prognose, og bør rapporteres med intervaller og de vigtigste antagelser.