CISSP領域重要名詞釋疑 - 風險評估與計算

Risk = Threat × Vulnerability
會有風險，總是因為漏洞與威脅產生連結。
此關係開始藉由以下公式：

Risk = Threat × Vulnerability

你可以根據以上公式給與風險一個值。填入威脅與漏洞後就能計算出風險值。我們總是使用1-5之間的值(此範圍可以是任意的，但是保持一定的值，便於比較不同種類的風險)。

LEARN BY EXAMPLE: EARTHQUAKE DISASTER RISK INDEX
風險總是違背常理。當你詢問波士頓或舊金山兩個城市之間哪個城市較容易發生大地震時，你總是能得到舊金山這個答案。如果是在加州位於環太平洋火山地震帶上則過去曾發生大規模地震。由於波士頓東北方從殖民時期以來就不曾發生過大地震。

雷切爾、戴維森 創造評估地震風險的指數，這是用來判斷國際城市間主要地震的風險。詳細資料可見：http://www.sciencedaily.com/releases/1997/08/970821233648.htm

她發現，波士頓與舊金山地震風險大致上是相同的。因為波士頓的地震危險性大於舊金山，雖然在波士頓發生大規模地震的可能性較低。原因在於波士頓擁有許多1975年以前的建築物，在他們納入地震安全規範建築物前。

相較於波士頓，舊金山發生地震威脅的可能較高(較高的地震頻率)，但他們的漏洞較少(較為嚴謹的地震建築規範)；而波士頓的地震威脅較小(較低的地震頻率)，但他們具有較多的漏洞(較弱的建築物強度)。


根據公式，我們可以得到地震風險(Risk = Threat × Vulnerability)。

舊金山威脅指數：4
舊金山的漏洞指數：2
舊金山的風險為：4 × 2 = 8

波士頓計算
波士頓的威脅指數：2
波士頓的漏洞指數：4
波士頓的風險指數為：2 × 4 = 8

意味著兩個城市風險差不多。