Khóa học CompTIA Security+ OnlineBài 94. Quản trị rủi ro (2): SLE, ALE, ARO, risk register, risk tolerance
Bài 94. Quản trị rủi ro (2): SLE, ALE, ARO, risk register, risk tolerance
Khóa học CompTIA Security+ SY0-801 · Phần 5: Quản trị, rủi ro và tuân thủ · Bài 94 · 🎯 Objective 5.2 · ⏱️ Đọc khoảng 20 phút · 🧪 Không cần lab (có bài tính) · 📝 5 câu bài tập cuối bài
🎯 Mục tiêu bài học
- Tính SLE, ALE, ARO và dùng exposure factor (EF) đúng cách.
- So sánh chi phí biện pháp với mức giảm ALE để quyết định có đáng làm không.
- Biết lập và dùng sổ đăng ký rủi ro (risk register).
- Phân biệt risk appetite, risk tolerance, risk threshold.
📎 Vị trí trong đề thi: Objective 5.2, phần phân tích định lượng. Bài này tiếp nối Bài 93. RTO và RPO ở Bài 55 cũng là chỉ số liên quan nhưng không phải công thức SLE hay ALE. Bài sau, Bài 95, nói về xử lý rủi ro và BIA.
💡 Liên hệ thực tế: "EDR đáng bao nhiêu tiền?"
Chị Lan hỏi tài chính thường dùng một câu: "Nếu tôi chi 15.000 đô mỗi năm cho giải pháp này thì tôi tiết kiệm được bao nhiêu?" Nam không thể trả lời bằng "an toàn hơn". Anh cần con số: giá trị dữ liệu, thiệt hại mỗi lần, tần suất, và mức giảm nhờ biện pháp. Công thức định lượng không cho kết quả chính xác tuyệt đối, nhưng buộc mọi người nói rõ giả định và so sánh được các lựa chọn. Đây là tình huống minh họa, các số liệu chỉ để làm bài tính.
🧮 Hình 94a. Từ giá trị tài sản đến tổn thất kỳ vọng mỗi năm.
📘 Kiến thức cốt lõi
🧮 Bốn đại lượng cần nhớ
| Ký hiệu | Tên | Nghĩa | Ví dụ |
|---|---|---|---|
| AV | Asset Value (giá trị tài sản) | Giá trị của tài sản, bằng tiền | 200.000 đô |
| EF | Exposure Factor (hệ số phơi nhiễm) | Phần trăm giá trị tài sản bị mất mỗi lần sự cố | 40% (0,4) |
| SLE | Single Loss Expectancy (tổn thất một lần) | Thiệt hại mỗi lần xảy ra | 200.000 x 0,4 = 80.000 đô |
| ARO | Annualized Rate of Occurrence (tỷ lệ xảy ra hằng năm) | Số lần dự kiến xảy ra mỗi năm | 0,25 (một lần mỗi 4 năm) |
| ALE | Annualized Loss Expectancy (tổn thất kỳ vọng hằng năm) | Thiệt hại trung bình mỗi năm | 80.000 x 0,25 = 20.000 đô |
Công thức:
SLE = AV x EF
ALE = SLE x ARO
Cách nhớ ARO: nếu sự cố xảy ra một lần mỗi N năm thì ARO = 1/N. Ví dụ một lần mỗi 10 năm → ARO = 0,1; hai lần mỗi năm → ARO = 2; một lần mỗi tháng → ARO = 12.
📊 Ví dụ có lời giải: có nên mua biện pháp?
Bối cảnh: Cơ sở dữ liệu khách hàng có giá trị 200.000 đô. Nếu bị ransomware, mất khoảng 40% giá trị (chi phí khôi phục, gián đoạn, thiệt hại). Chuyên gia ước tính sự cố xảy ra một lần mỗi 4 năm.
| Bước | Tính | Kết quả |
|---|---|---|
| SLE | 200.000 x 0,4 | 80.000 đô |
| ARO | 1 / 4 | 0,25 |
| ALE trước | 80.000 x 0,25 | 20.000 đô/năm |
Biện pháp đề xuất: giải pháp EDR cộng sao lưu bất biến, chi phí 15.000 đô/năm, giảm tần suất xuống một lần mỗi 20 năm (ARO = 0,05).
| Bước | Tính | Kết quả |
|---|---|---|
| ALE sau | 80.000 x 0,05 | 4.000 đô/năm |
| Mức giảm ALE | 20.000 − 4.000 | 16.000 đô/năm |
| Lợi ích ròng | 16.000 − 15.000 | +1.000 đô/năm |
Kết luận: biện pháp đáng làm nhưng lợi ích mỏng; nếu ước tính sai một chút thì có thể không còn đáng. Hãy xem xét lợi ích phi tài chính (uy tín, tuân thủ) và độ nhạy của các ước lượng.
🧠 Quy tắc quyết định đơn giản: nếu chi phí hằng năm của biện pháp lớn hơn mức giảm ALE thì về mặt tài chính không đáng làm (tuy nhiên vẫn có thể phải làm vì yêu cầu pháp lý hoặc hợp đồng). Nếu nhỏ hơn, biện pháp có lợi.
Giá trị biện pháp (value of safeguard) = ALE trước − ALE sau − chi phí hằng năm của biện pháp.
⚠️ Những lỗi hay gặp khi tính
| Lỗi | Hậu quả |
|---|---|
| Nhầm EF (phần trăm) với số tiền | SLE sai hàng chục lần |
| Quên đổi ARO về mỗi năm | ALE sai (ví dụ một lần mỗi 5 năm là 0,2, không phải 5) |
| Dùng AV không bao gồm chi phí gián tiếp | Đánh giá thấp thiệt hại |
| Coi con số là chắc chắn | Ảo tưởng chính xác; luôn là ước lượng |
| So sánh chi phí một lần với ALE hằng năm | Phải quy đổi cùng đơn vị năm (chi phí chia theo vòng đời) |
| Bỏ qua rủi ro còn lại | Vẫn còn ALE sau biện pháp |
📒 Sổ đăng ký rủi ro (risk register)
Risk register là nơi duy nhất ghi nhận mọi rủi ro đã nhận diện, theo dõi trạng thái và xử lý theo thời gian.
📒 Hình 94b. Ghi nhận, chấm điểm, giao việc, rà soát.
Một dòng trong sổ thường có:
| Trường | Ví dụ |
|---|---|
| Mã rủi ro | R-012 |
| Mô tả | Ransomware mã hóa máy chủ tệp, dừng bán hàng |
| Tài sản liên quan | Máy chủ tệp, hệ thống bán hàng |
| Mối đe dọa và lỗ hổng | Nhóm tống tiền; máy trạm chưa có EDR |
| Khả năng, tác động | Cao, Cao (điểm tiềm tàng 9) |
| Biện pháp hiện có | Sao lưu hằng ngày cùng mạng |
| Rủi ro còn lại | 6 (cao) |
| Phương án xử lý | Giảm thiểu: EDR, sao lưu bất biến |
| Chủ sở hữu rủi ro (risk owner) | Trưởng bộ phận IT |
| Hạn | Quý 2 |
| Trạng thái | Đang thực hiện |
Chủ sở hữu rủi ro là người có thẩm quyền và nguồn lực để xử lý, thường là lãnh đạo nghiệp vụ, không nhất thiết là người trong đội bảo mật. Sổ cần cập nhật khi có thay đổi và báo cáo định kỳ cho ủy ban và hội đồng (Bài 92).
🎚️ Risk appetite, tolerance, threshold: phân biệt kỹ
| Khái niệm | Cấp độ | Ví dụ |
|---|---|---|
| Risk appetite (khẩu vị) | Chiến lược, toàn tổ chức | "Chúng tôi thận trọng với rủi ro làm lộ dữ liệu khách hàng" |
| Risk tolerance (ngưỡng chịu đựng) | Mức lệch chấp nhận quanh khẩu vị, theo loại rủi ro | "Gián đoạn hệ thống bán hàng tối đa 4 giờ" |
| Risk threshold (ngưỡng hành động) | Điểm cụ thể kích hoạt phản ứng | "Điểm rủi ro trên 6 phải báo ủy ban trong 5 ngày" |
Các định nghĩa chính xác có thể khác đôi chút giữa tài liệu; trong đề thi, hãy nhớ: appetite là cái chung nhất (mức sẵn sàng chấp nhận), tolerance là biên độ chấp nhận được, threshold là điểm kích hoạt hành động.
Cũng cần biết: thái độ với rủi ro (risk posture) có thể là hướng tránh rủi ro (risk-averse), trung dung, hoặc ưa mạo hiểm (risk-seeking), tùy bản chất doanh nghiệp.
🧭 Áp vào câu chuyện của Nam
| Câu hỏi | Trả lời |
|---|---|
| Thiệt hại mỗi lần ransomware | SLE = AV x EF = 80.000 đô |
| Một lần mỗi 4 năm nghĩa là? | ARO = 0,25 |
| Thiệt hại trung bình mỗi năm | ALE = 20.000 đô |
| Mua biện pháp 15.000 đô/năm, ALE còn 4.000 | Lợi ích ròng = 16.000 − 15.000 = +1.000 đô |
| Nơi ghi lại mọi rủi ro, chủ sở hữu, hạn | Risk register |
| Công ty thận trọng với dữ liệu khách hàng | Risk appetite |
| Điểm trên 6 phải báo ủy ban | Risk threshold |
🎯 Mẹo làm bài
"Tổn thất mỗi lần" → SLE = AV x EF. "Tổn thất mỗi năm" → ALE = SLE x ARO. "Một lần mỗi 5 năm" → ARO = 0,2. "Phần trăm giá trị mất mỗi lần" → EF. "Biện pháp có đáng làm không" → so ALE giảm với chi phí hằng năm. "Nơi ghi nhận rủi ro, chủ sở hữu và xử lý" → risk register. "Người chịu trách nhiệm xử lý một rủi ro" → risk owner. "Mức sẵn sàng chấp nhận chung" → risk appetite. "Điểm kích hoạt hành động" → risk threshold. "Đo số tiền" → định lượng.
📖 Thuật ngữ cần nhớ
| Thuật ngữ | Nghĩa |
|---|---|
| AV | Giá trị tài sản. |
| EF | Hệ số phơi nhiễm (phần trăm mất mỗi lần). |
| SLE | Tổn thất kỳ vọng một lần. |
| ARO | Tỷ lệ xảy ra hằng năm. |
| ALE | Tổn thất kỳ vọng hằng năm. |
| Risk register | Sổ đăng ký rủi ro. |
| Risk owner | Chủ sở hữu rủi ro. |
| Risk appetite | Khẩu vị rủi ro. |
| Risk tolerance | Ngưỡng chịu đựng rủi ro. |
| Risk threshold | Ngưỡng kích hoạt hành động. |
📌 Tóm tắt nhanh
- SLE = AV x EF; ALE = SLE x ARO; ARO = 1/N nếu một lần mỗi N năm.
- Biện pháp đáng làm (về tài chính) khi mức giảm ALE lớn hơn chi phí hằng năm.
- Con số luôn là ước lượng; nêu rõ giả định và độ nhạy.
- Risk register gom mọi rủi ro với chủ sở hữu, điểm, phương án xử lý, hạn, trạng thái.
- Appetite là chung nhất, tolerance là biên độ chấp nhận, threshold là điểm kích hoạt hành động.
📝 Bài tập đánh giá
Tự chọn đáp án cho từng câu, rồi đối chiếu với phần đáp án ở cuối bài.
Câu 1. Một máy chủ có giá trị 100.000 đô. Nếu bị sự cố, tổ chức ước tính mất 30% giá trị. SLE là bao nhiêu?
- A. 3.000 đô
- B. 30.000 đô
- C. 70.000 đô
- D. 130.000 đô
Câu 2. SLE là 30.000 đô và sự cố được dự kiến xảy ra 2 lần mỗi năm. ALE là bao nhiêu?
- A. 15.000 đô
- B. 30.000 đô
- C. 32.000 đô
- D. 60.000 đô
Câu 3. Một sự cố được dự kiến xảy ra một lần mỗi 5 năm. ARO là bao nhiêu?
- A. 0,2
- B. 5
- C. 0,5
- D. 20
Câu 4. ALE hiện tại là 60.000 đô. Một biện pháp có chi phí 25.000 đô mỗi năm và làm ALE còn 20.000 đô. Nhận định nào đúng?
- A. Không đáng làm vì chi phí quá lớn
- B. Mức giảm ALE là 20.000 đô nên hòa vốn
- C. Đáng làm về mặt tài chính vì mức giảm ALE 40.000 đô lớn hơn chi phí 25.000 đô
- D. Không thể đánh giá vì thiếu EF
Câu 5. Công cụ nào dùng để ghi nhận mọi rủi ro đã nhận diện cùng chủ sở hữu, phương án xử lý, hạn và trạng thái?
- A. Bảng kê tài sản
- B. Risk register
- C. Sơ đồ mạng
- D. Nhật ký thay đổi
👉 Đáp án
Câu 1: B — SLE = AV x EF = 100.000 x 0,3 = 30.000 đô.
Câu 2: D — ALE = SLE x ARO = 30.000 x 2 = 60.000 đô.
Câu 3: A — Một lần mỗi 5 năm là ARO = 1/5 = 0,2.
Câu 4: C — Mức giảm ALE = 60.000 − 20.000 = 40.000 đô, lớn hơn chi phí 25.000 đô; lợi ích ròng +15.000 đô mỗi năm.
Câu 5: B — Risk register là nơi duy nhất ghi nhận và theo dõi rủi ro cùng chủ sở hữu, xử lý, hạn và trạng thái.
📚 Bài viết thuộc khóa học CompTIA Security+ của VNExperts
