安全为上，在系统威胁建模中使用量化分析

*注：Open FAIR™ 知识体系是一种开放和独立的信息风险分析方法。它为理解、分析和度量信息风险提供了分类和方法。Open FAIR作为领先的风险分析方法论，已得到越来越多的大型组织认可。

在数字化风险与日俱增的今天，企业安全决策正面临双重挑战：既要应对持续演进的威胁态势，又需在有限资源下实现精准投入。传统定性分析方法虽能识别风险，却难以回答"该投入多少"与"何处投入最优"的核心问题。The Open Group安全论坛最新研讨揭示：通过将系统威胁建模与FAIR量化分析深度耦合，辅以运筹学优化算法，可构建风险损失与安全成本的动态平衡模型。本文基于微软、Kendra等机构的实战经验，拆解威胁建模四阶方法论在量化视角下的重构路径，剖析混合整数规划在控制措施优化中的工程化应用，并为不同规模组织提供可落地的敏捷实践框架。这场从"经验驱动"到"数据智能"的安全范式变革，正在重新定义企业风险管理的价值坐标系。

威胁建模的体系化重构

1. 定义与范畴界定

微软威胁建模专家Simone Courty提出："威胁建模是从安全视角分析系统设计的结构化过程，包含四个核心阶段：系统理解→威胁识别→缓解设计→验证闭环"。系统威胁建模聚焦特定IT系统，通过明确分析边界（"考虑外部组件为不可信，采用零信任原则"）实现精准攻击面分析，较传统应用级建模更具工程可行性。  

2. 方法论演进 

当前主要方法包括微STRIDE模型（欺骗、篡改、抵赖、信息泄露、拒绝服务、特权提升），但Simone强调："没有单一标准方法，不同模型各有优劣"。行业实践呈现三大趋势：  

• 从定性评估转向量化分析  

• 从离散控制转向优化组合  

• 从文档驱动转向自动化工具链

量化分析的技术突破

1.FAIR模型的价值转化

Kyndryl数据科学家Melissa Milan解析FAIR（Factor Analysis of Information Risk）框架："将风险量化为美元数值，计算年度风险成本=损失事件频率×单次损失幅度"。该方法输出包含置信区间（如$50万-$120万/年，90%置信度），实现：  

• 安全投入ROI可视化  

• 残余风险可计量化  

• 控制措施成本效益分析  

2. 运筹学优化实践 

Kyndryl杰出工程师Dan Riley揭示操作研究方法："将控制措施选择转化为混合整数规划问题，采用分支定界法求解最优解"。关键约束条件包括：  

• 残余风险阈值 ≤ 组织风险承受力  

• 实施成本 ≤ 安全预算  

• 技术兼容性 ∈ 现有架构许可集 

实施挑战与应对策略

1. 组织协同障碍

挑战维度	典型表现	解决方案
认知差异	安全团队与CFO风险语言不互通	建立风险-财务转化矩阵
数据碎片化	历史事件数据分散在多个系统	构建统一风险数据湖
技能断层	缺乏交叉学科人才	与高校联合培养"安全数据科学家

2. 中小企业敏捷路径  

Principal Defense创始人Jim Wright建议：  

1. 聚焦核心流：选择≤3个关键业务流程建模  

2. 轻量化工具：Excel+Open FAIR模板完成初期分析 

3. 成本控制：  

•    利用Verizon DBIR等开放数据集  

•    蒙特卡洛模拟替代全量分析  

•    季度迭代更新模型 

工具生态与实施资源

1. 技术栈全景

2. The Open Group资源支持  

• 标准体系：Open FAIR™风险分析标准（兼容ISO/IEC 27005） 

• 实施指南：正在开发威胁建模-量化分析集成工具原型  

• 培训认证：开放认证数据科学家（Open CDS）计划 

专家实施建议

1. 沟通策略 

• 对比展示："同时呈现定性热力图与定量财务分析，引导管理层选择"

• 价值翻译："将威胁建模结果转化为CFO可理解的年度风险预算"

2. 迭代机制

• 反馈循环：每季度对比预测风险与实际事件，修正模型参数  

• 能力建设：从单系统试点扩展到企业级部署，累计节省安全预算35%+  

3. 协作模式 

•  问题驱动："从具体业务痛点切入，凝聚安全、数据、业务三方共识"

• 学术合作："与高校数学系合作解决优化计算问题"

The Open Group安全论坛

提供了一个厂商中立的环境，会员可借助论坛提供的平台获得相关知识以及分享宝贵经验，并引领安全架构和信息安全管理领域的开放标准和最佳实践开发。论坛开发技术安全标准并为管理安全风险和创建有效的安全架构提供指导，帮助产业、政府、学术界及供应商等实现：

•  管理和降低IT相关风险

•  维护IT环境安全

•  在业务技术运行层面提升信赖度