资产、威胁和按比例选择控制措施

安全工作是有限的：时间、金钱以及您和您的同事在放弃安全措施之前能够忍受的摩擦程度。 NIST 特别出版物 800-30 是美国政府的风险评估指南，其存在的目的是使这项工作落到实处。它将风险评估定义为“识别、估计和优先考虑风险的过程”，其核心思想很容易缩小规模：一个两人非政府组织可以解决大型机构所做的相同的四个问题，只是速度更快，文书工作更少。

使风险评估发挥作用的四个术语

一个有效的例子：捐赠者名单

以一个小型非政府组织的捐助者电子表格为例，该电子表格保存在共享云文件夹中。资产是捐赠者的姓名、电子邮件和捐赠金额。一个看似合理的威胁是向具有编辑权限的人发送网络钓鱼电子邮件，旨在窃取他们的登录信息。该漏洞在于文件夹链接只需要密码，不需要第二个因素，并且该密码会在其他地方重复使用。可能性是有意义的（根据上一课，网络钓鱼很常见），影响是真实的，但不是灾难性的：尴尬，可能是一些捐助者的担忧，而不是人身危险。这种组合意味着适当的控制：帐户的多因素身份验证、唯一的密码以及限制真正需要它的人的编辑访问权限，例如，而不是完全离线列表或购买组织无法维护的企业安全软件。

一个有效的例子：消息来源的身份

现在以一名记者对政府机构内部机密消息来源的了解为例。资产是来源的身份。威胁是一个国家行为者，拥有索取记录的合法权力，并且有足够的动机实际使用它（回想第一课中的对手模型：该行为者拥有真正的资源和低风险厌恶）。该漏洞可能是报告者的电话运营商记录了谁给谁打电话，或者笔记存在于普通的、未加密的笔记应用程序中。可能性可能低于网络钓鱼案件，但影响很严重——消息来源可能会失去工作、自由或安全。这种组合证明了与捐助者名单示例不成比例的控制措施的合理性：用于敏感报告的单独设备，通过信号进行通信而不是普通的电话或短信，并且根据下一课，将其视为需要专家帮助而不是自学防御的案例。

将努力与风险相匹配，而不是与恐惧相匹配

NIST 800-30 将其定义为评估“技术、流程、个人和企业”的风险并选择响应：接受较小的风险，通过控制来降低风险，或者在极少数情况下完全转移或避免风险（例如，根本不保留某条信息）。这一纪律正在抵制两个相反的错误：将每一种风险都视为灾难性的，这会在没有人跟上的控制上耗尽人员和预算；将每一种风险视为可接受的，这会导致一个真正的威胁得不到解决。这个分析的五分钟版本被写下来并在情况发生变化时重新审视，它击败了“我们可能应该更加小心”的不成文的感觉。

可重用的简短清单

• 列出两三件你最不想暴露、丢失或毁坏的东西。
• 对于每个人，说出第一课中现实对手的名字——而不是你能想象到的最可怕的对手。
• 说出对手实际上可以利用的一个具体弱点。
• 诚实地评估可能性和影响，然后选择适合该评级的控件。
• 把决定写下来；如果您的工作、数据或对手发生变化，请重新访问它。