FAIR (Factor Analysis of Information Risk).

Открытый международный стандарт количественной оценки информационных и киберрисков в финансовом выражении путём декомпозиции риска на факторы частоты потерь и величины потерь. Относится к категории Соответствие и стандарты в кибербезопасности.

Открытый международный стандарт количественной оценки информационных и киберрисков в финансовом выражении путём декомпозиции риска на факторы частоты потерь и величины потерь.

FAIR поддерживается FAIR Institute и стандартизирован The Open Group (O-RA, O-RT) и является наиболее распространённой количественной моделью киберриска. Он раскладывает риск на частоту событий потерь (частота событий угрозы × уязвимость) и величину потерь (первичные и вторичные), а подфакторы оценивают калиброванными диапазонами. Инструменты вроде FAIR-U и коммерческих платформ обычно запускают симуляции Монте-Карло и выдают распределения потерь, включая ALE и кривые превышения. FAIR используют для приоритизации инвестиций в безопасность, диалога с советом директоров и регуляторами, установления аппетита к риску и андеррайтинга киберстрахования; он дополняет ISO 31000, NIST RMF и подходы ERM.

Защита от FAIR (Factor Analysis of Information Risk) обычно сочетает технические меры и операционные практики, как описано в определении выше.

Распространённые альтернативные названия: FAIR, Анализ FAIR.