FAIR (Factor Analysis of Information Risk).

FAIR поддерживается FAIR Institute и стандартизирован The Open Group (O-RA, O-RT) и является наиболее распространённой количественной моделью киберриска. Он раскладывает риск на частоту событий потерь (частота событий угрозы × уязвимость) и величину потерь (первичные и вторичные), а подфакторы оценивают калиброванными диапазонами. Инструменты вроде FAIR-U и коммерческих платформ обычно запускают симуляции Монте-Карло и выдают распределения потерь, включая ALE и кривые превышения. FAIR используют для приоритизации инвестиций в безопасность, диалога с советом директоров и регуляторами, установления аппетита к риску и андеррайтинга киберстрахования; он дополняет ISO 31000, NIST RMF и подходы ERM.