問：在安全風(fēng)險分析過程中，“資產(chǎn)估價（asset valuation）”與“影響分析（impact analysis）”之間的區(qū)別是什么？

答：“資產(chǎn)”是指對于一個企業(yè)具有某種價值、必須受到保護的任何一種資源、產(chǎn)品、工藝、系統(tǒng)，或者任何其他的東西。資產(chǎn)可以是物理/有形的物品，比如設(shè)備或者計算機，還可以是無形的東西，比如說信息或者知識產(chǎn)權(quán)等。

資產(chǎn)包含了各種重要的元素或者因素，從而具有某些“價值”，值得企業(yè)花費成本對其進行保護。當(dāng)進行安全風(fēng)險分析時，不管是進行定性分析（其結(jié)果是基于資產(chǎn)對于企業(yè)的具體價值而形成的主觀價值），還是進行定量分析（其結(jié)果是基于資產(chǎn)成本而形成的價值），你都需要確定資產(chǎn)對于企業(yè)的凈價值（net value）。這個評估過程具有多種形式，由Ronald L. Krutz和Russell Dean Vines撰寫的《CISSP Prep Guide》一書，指出了用來確定資產(chǎn)價值的三個基本要素：

◆企業(yè)購買、許可、開發(fā)以及支持物理或者信息資產(chǎn)的最初成本和后續(xù)成本。

◆該資產(chǎn)對于企業(yè)生產(chǎn)運行、研發(fā)以及核心業(yè)務(wù)可行性的價值。

◆由外部市場確定的該資產(chǎn)價值以及知識產(chǎn)權(quán)（比如商業(yè)秘密、專利、版權(quán)等等）的評估價值。Shon Harris在她的《CISSP All-In-One Certificate Exam Guide》一書中指出，除了上面列出的內(nèi)容以外，確定信息和資產(chǎn)的價值時還需要考慮下面的一些內(nèi)容：

◆對于競爭對手來說該資產(chǎn)的價值。

◆該資產(chǎn)丟失后的補償成本。

◆該資產(chǎn)丟失帶來的運行以及生產(chǎn)成本。

◆該資產(chǎn)泄漏帶來的法律問題。

這兩份參考意見都表明：一項資產(chǎn)的價值不僅僅是單純購買該資產(chǎn)的現(xiàn)金那么簡單。

真正的安全風(fēng)險分析過程應(yīng)該包括以下幾個階段（這也是Shon Harris的觀點）：

a、確定信息和資產(chǎn)的價值。

b、估計潛在的風(fēng)險損失。

c、進行一次威脅分析。

d、推斷每個風(fēng)險可能帶來的全部損失。

e、選擇補救措施來減少每個風(fēng)險帶來的損失。

f、減少、確定或者接受風(fēng)險。

采用了這種模型，我們來看文章開頭那個問題， “影響分析”這個詞的意思是怎樣計算威脅對各種資產(chǎn)帶來的金融影響。

因此，你基本上可以使用上面列出的經(jīng)典風(fēng)險影響分析方法，其中包括使用曝光系數(shù)（exposure factor）、年發(fā)生率以及單一損失預(yù)期計算等。

我們已經(jīng)討論了怎樣確定資產(chǎn)的價值，現(xiàn)在我們來討論下什么是曝光系數(shù)。

曝光系數(shù)是指為了確定威脅而導(dǎo)致的資產(chǎn)損失百分比。舉個例子，如果一次颶風(fēng)襲擊了我的價值十億美元的倉庫并引起50%的破壞，那么曝光系數(shù)就是50%。

年發(fā)生率是指人們估計的具體某個威脅在一年內(nèi)發(fā)生的可能性。繼續(xù)上面的例子，讓我們假設(shè)一年中20%的時間是颶風(fēng)季節(jié)。那么，年發(fā)生率就是20%。

下一步是計算單一預(yù)期損失。在這里，單一預(yù)期損失等于曝光系數(shù)乘以資產(chǎn)價值。那么，對于倉庫來說，單一預(yù)期損失為：10億美元x 0.5 =5億美元。

然后就是計算我公司每年的年預(yù)期損失（或者金融影響評估）；年預(yù)期損失=單一預(yù)期損失x年發(fā)生率。那么在這種情況下：單一預(yù)期損失（5億美元）x年利率（0.2）=1億美元。這是一個龐大的數(shù)字，它可能不切合實際，只是我們舉的例子而已。然而這個數(shù)值能夠幫助安全職業(yè)人員確定預(yù)算，并在選擇風(fēng)險減輕措施以減少潛在的損失時進行成本—利潤分析。

在這個例子中，當(dāng)你決定要花錢進行風(fēng)險減輕的時候，你可以考慮使用一億美元（單一預(yù)期損失的價值），如果你花費超過了一億美元，那么就是在浪費金錢。

總之，資產(chǎn)價值是整個風(fēng)險影響分析過程的基礎(chǔ)部分，有助于企業(yè)了解某個具體威脅可能給企業(yè)帶來的金融影響。