計算 IT 規範風險分數的方式

每個風險的兩個評分

每個風險都帶有兩個評分,會根據您環境的不同變更自動更新。

• 內建風險分數:考量任何控制項之前風險的嚴重性。它會回答問題:此威脅本身有多嚴重?使用它來排定哪些風險需要最多關注的優先順序,無論已存在的保護措施為何。
• 殘差風險分數:系統會考量對應至風險的控制項後所剩餘的嚴重性。其會回答問題:您小組管理風險所做的一切後,剩餘的曝光量為何?使用它來決定目前的保護是否足夠,或是否需要進一步處理。

兩個評分皆為數值。運算式集中的決策表格會將每個數字對應至顯示在風險記錄、顯示面板和「風險熱地圖」上的嚴重性帶,例如「低」、「中」、「高」或「嚴重」。

運算式集讀取您風險資料的方式

「業務規則引擎」不會直接讀取記錄欄位。而是使用內容定義,即結構化對應,可告知運算式集要從哪些記錄讀取哪些欄位,以及要將結果寫回哪些欄位。

預設風險評分內容定義會將三種類型的記錄連線至運算式集。

標記為僅輸入的屬性會由運算式集讀取,但永不覆寫。標記為 input-output 的屬性可同時讀取和更新,這是運算式集將最終分數寫回評估記錄的方式。

計算內部風險分數的方式

在考量控制項之前,會先計算內部分數。預設公式會乘以利害關係人在「風險評估」調查上提供的兩個等級。

Inherent Risk Score = Likelihood × Impact

例如,如果利害關係人將風險評分為「可能性 5 之 4」且「影響 5 之 5」,則內含分數為 20。然後,決策表會將 20 對應至「重要」嚴重性帶。

運算式集會將此結果寫入「風險評估」記錄上的「內部風險分數」欄位作為輸出。

如何計算殘差風險分數

殘差分數從內含分數開始,並根據對應至風險之控制項的集體成效來減少。預設公式會以四個步驟執行。

平均控制效率愈高,表示愈大的減少愈高,殘差分愈低。如果未對應任何控制項,則平均效率為零,殘差分等於內部分數。

自訂評分公式

Agentforce IT Service 提供預設風險評分運算式集,讓您的小組能夠在啟用「風險管理」後立即開始評分風險。管理員在設定期間啟用預設運算式集。

預設運算式集是起點,不是限制。如果您的組織需要不同的評分方法—例如,將財務風險加權高於營運風險,或使用 1-to-10 級數而非 1-to-5—管理員可以複製「業務規則引擎」中的預設運算式集,並修改公式。

自訂運算式集可以使用不同的加權、針對無效控制新增其他邏輯,或導入最低殘差分數底端。啟用自訂版本時,所有評估都會使用更新的邏輯。

評分如何自動重新計算

評分會在條件變更時動態重新整理。

• 當「風險評估」調查達到其回應門值時,「業務規則引擎」會重新計算父系評估的可能性和影響,並更新內建分數。
• 當控制項與風險對應或從風險取消對應時,殘差分數會重新計算以反映新的保護組。
• 當治療計畫完成且新控制項對應至風險時,殘差分會更新以反映改善的狀況。
• 開啟「持續風險監視」時,背景工作人員會監視變更,例如控制變為無效或新增範圍,並在評分可能改變時觸發重新評估。

評分的追蹤方式

• 每個「風險」記錄的詳細資料頁面都會顯示內部和殘差分數,以及過去評估的趨勢。
• 每個「風險評估」記錄都會顯示該特定評估週期產生的分數。
• 「風險熱區圖」會在每個影響的可能性網格上繪製每個風險,並使用內建分數定位風險,讓領導階層能概略瞭解嚴重性。