信息風險的度量與管理：FAIR方法（原書第2版）
（美）傑克·瓊斯（Jack Jones）
- 出版商: 機械工業
- 出版日期: 2026-10-01
- 售價: $714
- 語言: 簡體中文
- 頁數: 296
- ISBN: 7111820304
- ISBN-13: 9787111820307
-
相關分類:
資訊安全
- 此書翻譯自: Measuring and Managing Information Risk: A Fair Approach
下單後立即進貨 (約4週~6週)
商品描述
"本書是一本系統介紹FAIR（信息風險因子分析）框架的權威指南。本書深入剖析了傳統風險度量方法不準確、多數組織無法識別主要網絡安全風險的現狀，指出FAIR方法能夠為決策者提供基於概率的定量風險信息，顯著提升資源分配效率與決策質量。全書從風險的基本概念入手，詳細闡述了FAIR風險模型的構成要素，包括損失事件頻率、威脅事件頻率、易損度、抵抗強度、損失規模等核心組件，並提供了實用的度量方法和分析流程。
通過豐富的實際案例，本書演示了如何應用FAIR框架進行風險場景構建、數據估算、蒙特卡洛模擬和結果解讀。同時，書中還探討了FAIR與ISO 27000系列、美國國家標準與技術研究院（NIST）網絡安全框架等主流標準的映射關系，指導讀者在組織內建立科學的、可驗證的風險分析體系，支持理性決策和有效的風險管理。
本書不僅適合信息安全專業人士、風險管理人員閱讀，也為企業高管、董事會成員提供了理解和管理網絡安全風險的科學工具，是推動組織從定性、主觀的風險評估轉向定量、客觀的風險分析的重要參考。"
作者簡介
傑克·瓊斯(Jack Jones)被 為風險管理與信息安全領域的思想 ，在該行業擁有超過35年的從業經驗。期間他累計擔任首席信息安全官(CISO)10年，其中包括為一家財富100強金融服務機構服務5年。其專業成就屢獲業界認可:2006年榮獲 信息系統安全協會(ISSA)安全實踐領域 獎，2012年憑借風險管理領導力獲CSO指南針獎。傑克·瓊斯 了已成為行業標準的風險度量模型--信息風險因子分析(FAIR)框架及其控制分析模型(FAIR-CAM)。FAIR框架已被 不同規模的組織廣泛采用，不僅被納人高校信息安全研究生課程體系， 成為多項行業標準的參考基準。他合著的《信息風險的度量與管理:FAIR方法》被列人“網絡安全經典著作名錄”(Cybersecurity Canon)，成為行業從業者必讀著作。他曾參與ISACA風險IT框架開發工作組，並領導了CRISC認證體系的開發工作。現致力於幫助具有前瞻性思維的組織與解決方案提供商深人理解並有效管控其網絡與運營風險。傑克·弗倫德(Jack Freund)博士是 的網絡安全與風險量化專家。擁有超過20年的行業經驗，他 為人熟知的身份是《信息風險:的度量與管理:FAIR方法》的合著者一-這部著作是信息風險因子分析(FAIR)標準的 指南。他的開創性研究重塑了組織應對和量化網絡風險的方式，使其被 為行業思想 。傑克·弗倫德獲諾瓦東南大學信息系統博士學位，持有項目管理、電信管理和 法的 學位與認證，以及多項網絡安全領域專業證書。在整個職業生涯中，他長期擔任 企業顧問，撰寫了大量關於網絡安全與治理的學術文章，並在知名行業會議上發表主題演講。他的工作有效彌合了技術專家與商業管理者之間的認知鴻溝，助力組織在應對網絡威脅時精準研判形勢並做出明智決策。
目錄大綱
推薦序一
推薦序二
譯者序一
譯者序二
第1章 緒論
1.1 為什麼？
1.2 風險有多大？
1.3 光頭輪胎
1.4 假設
1.5 術語
1.6 光頭輪胎的隱喻
1.7 風險評估vs風險分析
1.8 評估風險分析方法
1.9 風險分析局限性
1.10 警告——學習如何思考風險可能會改變你的職業生涯
1.11 使用這本書
第2章 基本風險概念與誤解
2.1 精確性vs準確性
2.2 可能性vs概率
2.3 主觀性vs客觀性
2.4 預測
第3章 FAIR風險模型
3.1 分解風險
3.2 損失事件頻率
3.3 威脅事件頻率
3.4 接觸頻率
3.5 行動概率
3.6 易損度（此前被稱為脆弱性）
3.7 威脅能力
3.8 抵抗強度與實施難度
3.9 損失規模
3.10 直接損失規模
3.11 次生風險
3.12 次生損失事件頻率
3.13 次生損失規模
3.14 模型靈活性
第4章 FAIR術語
4.1 風險術語
4.2 威脅
4.3 威脅社群
4.4 威脅畫像
4.5 易損事件
4.6 主要利益相關方和次要利益相關方
4.7 損失流
4.8 損失形式
第5章 度量
5.1 度量要降低不確定性
5.2 度量要表達不確定性
5.3 我們沒有足夠的數據，其他人也沒有
5.4 校準
5.5 等效下註檢驗
第6章 分析流程
6.1 應用FAIR風險模型所需的工具
6.2 如何應用FAIR風險模型
6.3 工作流程
6.4 構建場景
6.5 分析範圍
6.6 專家估算與計劃評審技術
6.7 蒙特卡洛引擎
6.8 抽象層級
第7章 解讀結果
7.1 這些數字意味著什麼（如何解讀FAIR結果）
7.2 理解結果
7.3 易損度
7.4 百分位數
7.5 定性的量表
7.6 熱力圖
7.7 拆分熱力圖
7.8 按組織機構拆分
7.9 按損失類型拆分
7.10 排查結果中的問題
第8章 風險分析示例
8.1 概述
8.2 不當訪問權限
8.3 特權內部人員、窺探與保密性
8.4 特權內部人員、惡意與保密性
8.5 損失規模
8.6 網絡犯罪分子、惡意與保密性
8.7 勒索軟件
8.8 結果和解讀
8.9 總結
第9章 常見錯誤
9.1 錯誤類別
9.2 檢查結果
9.3 範圍界定
9.4 數據
9.5 變量混淆
9.6 易損度分析
9.7 追求完美數據
第10章 控制措施
10.1 作者註
10.2 概述
10.3 FAIR-CAM用例
10.4 奠定基礎
10.5 解剖學與生理學
10.6 術語
10.7 功能域
10.8 場景至關重要
10.9 關系和依賴
10.10 實戰效能的作用機制
10.11 推導實戰效能
10.12 在方程中增加覆蓋度
10.13 累計分層控制措施
10.14 偏差管理與決策支持的作用
10.15 FAIR-CAM與常見控制措施框架的對比
10.16 總結
第11章 對齊標準和法規
11.1 將FAIR映射到安全、風險和控制措施標準
11.2 在FAIR分析中利用其他框架的評估結果
第12章 組織的風險決策
12.1 概述
12.2 常見問題
12.3 當我們說“風險管理”時，我們在表達什麼
12.4 決策，決策，還是決策
12.5 解決方案選擇
12.6 風險管理的系統視角
第13章 網絡安全指標
13.1 寫在前面
13.2 關於指標的警示
13.3 針對誰的指標
13.4 常見指標
13.5 其他需要考慮的指標
13.6 “皇冠上的明珠”指標
13.7 關鍵風險指標與關鍵績效指標
13.8 如果只有一個指標，是什麼
13.9 總結
第14章 克服網絡安全風險量化障礙
14.1 挑戰和戰略
14.2 CRQ項目的一個典型範例
14.3 悄悄地采用
第15章 自動化評估
15.1 傑克·弗倫德闡述自頂向下方法在風險量化評估自動化中的基本原則
15.2 傑克·瓊斯對CRQ自動化的看法
第16章 專家推薦
