FAIR(信息风险因子分析).

一项开放的国际标准,通过将风险分解为损失事件频率与损失量级等因子,在财务维度上量化信息风险与网络风险。 它属于网络安全的 合规与框架 分类。

一项开放的国际标准,通过将风险分解为损失事件频率与损失量级等因子,在财务维度上量化信息风险与网络风险。

FAIR 由 FAIR Institute 维护并经 The Open Group(O-RA、O-RT)标准化,是最被广泛采用的网络风险量化模型。它将风险分解为损失事件频率(威胁事件频率 × 脆弱性)与损失量级(主要损失和次级损失),并通过经过校准的范围估计若干子因子。FAIR-U 等工具及商业平台通常以蒙特卡洛模拟生成损失分布,包括 ALE 和损失超越曲线。FAIR 被广泛用于安全投资排序、董事会与监管沟通、风险偏好设定以及网络保险核保,与 ISO 31000、NIST RMF 及 ERM 框架互为补充。

针对 FAIR(信息风险因子分析) 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: FAIR, FAIR 分析。