風險評估從「膜拜」到「懷疑」再到「必備法寶」，實踐五年深刻體會：核心痛點在於如何獲得一致、可比、可重複的評估結果。本文剖析現狀與突破路徑。
現狀：雙標準並行，定性為主
- 參考標準：ISO 13335（國際）/ GB/T 20984-2007（國內）
- 本質：資產導向定性評估——識別資產→威脅/脆弱性識別→可能性×影響度矩陣→風險等級
- 輔助框架：ISO 27002/COBIT/等保作為控制目標基線
- 新趨勢：流程風險評估補充資產視角盲區
三大結構性困境
1. 定量缺土壤：無歷史數據支撐
銀行業有百年損失數據支撐定量模型（VaR/期望損失），信息安全缺乏標準化損失數據庫，定量評估「巧婦難為無米之炊」。
2. 定性本質缺陷：主觀性導致不可比
「高/中/低」本質是專家主觀估計。不同評估師/不同時期/不同部門對同一風險給出不同等級，無法反映改進成效，甚至出現「整改後風險反升」悖論。
3. 投資回報斷層：無法財務化量化
無法計算ROI，預算分配退化為「風險排序+預算截斷」啟發式決策：錢花到哪算哪，剩餘風險下年再說。
破局路徑：標準化、量表化、工具化、常態化
- 風險知識庫標準化：建立組織級威脅/脆弱性/資產/控制措施字典，消除術語歧義
- 評估量表量化校準：將「可能性/影響度」轉化為可觀測指標（如：漏洞CVSS分數/威脅情報活躍度/業務中斷成本/記錄筆數）
- 工具平台固化流程：GRC平台內置評估模板/計算引擎/版本控制/審計軌跡，消除人工表格漂移
- 基線化趨勢分析：建立風險登記冊時間序列，同比/環比追蹤風險暴露度變化，驗證控制措施有效性
- 場景化壓力測試：引入FAIR模型關鍵場景定量分析，為核心資產提供財務化決策支撐
風險評估不是為了產生報告，而是為了驅動資源精準配置。一致性、可比性、可重複性，是專業化的門檻，更是價值實現的前提。