CRAMM的乘积结构在当代还能不能用：定性筛查器与定量决策工具之间的切换条件

CRAMM的乘积结构在当代还能不能用：定性筛查器与定量决策工具之间的切换条件本文档提供：CRAMM三阶段中乘积结构所在位置与输入输出表（表1）；量表和问卷的可操作参数表（表2）；乘积结构在当代仍然成立的六个条件表（表3）；必须换用定量方法的五个触发信号表（表4）；CRAMM与FAIR在同一场景上的输出差异对照表（表5）；“CRAMM筛查→定量精算”混合架构的分工表（表6）；切换排查表（表7）；四条决策规则与两组矛盾处置；完整切换算例（表8、表9）；三套场景操作序列（表10）；数据来源与时效说明表（表11）。2026-11-02表0目录与定位这一节的标题读完你能拿到什么这一节在全文中的功能一、打开CRAMM的风险矩阵，先看乘积发生在哪一步乘积结构的位置与输入输出表锁定乘积的实际计算位置，避免在错误的地方找公式二、1到7的分数是怎么从问卷里长出来的量表和问卷参数表把“定性”翻译为可复现的输入与转换规则三、乘积结构在什么条件下仍然成立六个成立条件表给出继续使用CRAMM的判定清单四、看到哪五个信号，就该把乘积换成分布定量方法触发信号表识别乘积结构失效的早期迹象五、同一场景，CRAMM和FAIR给出的答案差在哪输出差异对照表用具体数字展示定性乘积与定量分布的差距六、不拆掉CRAMM：筛查层与精算层的分工混合架构分工表在保留CRAMM资产-威胁-脆弱性框架的前提下接入定量输出七、切换之前，先跑这张排查表切换排查表在动手替换方法前定位真正的断点八、什么时候坚持用CRAMM、什么时候停用：四条决策规则与两组矛盾决策规则与矛盾处置给出不可让步的判定条件和退路九、完整切换算例：从CRAMM的6分到FAIR的ALE区间算例数据与变量表展示同一风险行在两个方法之间的衔接十、完整版、精简版、极简版分别跑什么三套场景操作序列按场景选择最小可用的判定与切换集按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。手里有一份三年前用CRAMM做的评估报告，某支付系统的风险评分是6分（1—7量表），报告结论写着“高风险，建议采取额外控制”。董事会问“6分对应多少金额”，报告里没有答案；安全团队用FAIR补算了一版，ALE落在180万—260万区间，和6分之间没有任何映射关系。现在需要决定的是：下一轮评估继续用CRAMM，还是整体换成定量方法，还是两者各管一段。一、打开CRAMM的风险矩阵，先看乘积发生在哪一步CRAMM的三阶段中，乘积结构不在资产估值阶段，也不在对策推荐阶段，而在第二阶段的末尾：威胁等级和脆弱性等级确定之后，系统在一个预定义的矩阵中查出风险等级。这个等级是1到7的整数，1表示基线安全需求低，7表示安全需求很高。乘积关系的实质是：风险等级=f(资产价值,威胁等级,脆弱性等级)。在经典CRAMM中，资产价值本身不直接乘入风险等级，它通过“安全需求”间接影响最终等级；威胁和脆弱性各自被问卷评定为五档或三档，矩阵将它们组合映射为七档风险等级。读者不需要在矩阵里寻找一个“资产×威胁×脆弱性”的显式乘法公式——CRAMM的乘积是矩阵查表意义上的组合，不是连续变量的算术相乘。表1乘积结构在CRAMM中的位置与输入输出阶段输入在这一阶段做的动作输出乘积结构是否在此发生阶段一：资产识别与估值物理资产清单、数据资产清单、九类影响的最坏情景按1—10分给每类影响打分，汇总为资产价值每项/每组资产的估值分数否阶段二：威胁与脆弱性测量32对问卷的作答；36类威胁的适用性判断问卷答案转换为威胁等级（五档）和脆弱性等级（三档）每对“资产组—威胁”的威胁等级和脆弱性等级否阶段二末尾：风险计算资产价值、威胁等级、脆弱性等级查预定义风险矩阵1—7的风险等级；对应安全需求等级是。矩阵的每个单元格是预先固化的组合结果阶段三：对策推荐1—7的风险等级从对策库中匹配对策并排定优先级对策清单与优先级否。但对策的“安全等级”与风险等级在同一1—7尺度上如果在当代评估中需要一个可手工计算的乘积表达式，CRAMM原生方法本身不提供连续变量的乘法公式。部分衍生版本（如RM/RACRAMM）在危机管理语境下使用了显式的乘法：风险值=潜在损失×发生概率，并对损失按完整性、不可替代性等维度加权。但这个显式公式属于特定衍生方法，不是经典CRAMM的组成部分。经典CRAMM的“乘积”是查表组合，读者需要知道的是乘积发生在哪个单元格被选中，而不是去寻找一个乘法算式。二、1到7的分数是怎么从问卷里长出来的CRAMM的定性性质不意味着它的输入是随意的。它的可复现性来自两个固定机制：问卷的结构化和等级描述的锚定。表2量表和问卷的可操作参数参数具体内容可核查的锚定描述（示例）当代使用时的调整动作资产估值尺度1—10分，按九类影响分别打分后汇总财务损失：2分=低于1000美元；6分=1000至10000美元；8分=10000至100000美元；10分=超过100000美元将美元区间替换为本币区间，并按当前物价调整分界值；九类影响中“政治尴尬”“个人安全”等需替换为本组织适用的影响类型威胁等级五档：verylow/low/medium/high/veryhighverylow=预计不超过每10年一次；low≈每3年一次；medium≈每年一次；high≈每4个月一次频率描述直接可用，但需要事件记录验证当前控制下的实际频率；无记录时标注“专家判断”脆弱性等级三档：high/medium/lowmedium脆弱性≈最坏情景以33%至66%的概率实现三档粒度较粗，同一档内不同控制状态的差异无法区分；需要更细粒度时记录为“三档内子级”并附说明风险等级1—7整数1=低基线安全需求；7=非常高的安全需求不将1—7直接映射为金额；映射只能用于排序，不能用于预算问卷数量每个资产组32对问卷；覆盖36类威胁问卷在“假定没有安全对策”的条件下作答云环境、远程办公、API依赖等场景在原始问卷中覆盖不足，需要增补问题或标注“超出问卷范围”对策库近4000条对策，按70个主题分组，每条对策标注1—7安全等级对策优先级规则：能同时防范多种威胁的优先；能预防而非检测/恢复的优先对策库的粒度对现代技术栈偏粗；将对策映射到当前控制框架（如ISO27001附录A或内部基线）后再排优先级CRAMM软件在阶段二会为每个资产组和每类威胁生成一组明确的问题，问卷答案决定威胁和脆弱性的等级，再查矩阵得出风险等级。这个过程的可复现性依赖于同一份问卷、同一套锚定描述、同一组受访者角色。换一组人来答同一份问卷，如果锚定描述足够具体，答案的离散度会降低；如果锚定描述停留在“高/中/低”而不给频率或概率边界，可复现性在第一步就丢失了。三、乘积结构在什么条件下仍然成立乘积结构不是“过时”或“不过时”的二选一。它在特定条件下仍然能完成它设计时要完成的工作：在缺乏精确概率和损失数据的环境中，产出一个可排序、可审计、与对策库挂钩的风险等级。表3乘积结构继续适用的六个条件条件判定标准满足时乘积结构能做什么不满足时会出现什么问题1.资产边界是静态的或变更频率低评估周期内资产清单的变更不超过10%；系统边界在评估开始前已冻结32对问卷的答案在一次评估内保持有效；矩阵查表结果可在评审中被复述云资源、微服务、频繁上下线的项目使问卷答案在评估完成前已部分失效2.威胁类型落在问卷覆盖范围内主要威胁可归入36类威胁中的一类，且频率描述能用“每N年一次”表达威胁等级有五档锚定，不需要另行构建概率分布新型攻击（供应链、API滥用、深度伪造）在原始威胁分类中找不到对应项，只能归入“其他”并失去等级依据3.决策只需要排序，不需要金额输出用于排定对策优先级、分配评估资源、识别需要深化的行1—7等级足以区分“先处理哪一行”董事会要求金额、预算要求ALE、保险要求尾部损失时，乘积结构无法直接产出4.组织接受“查表组合”作为可解释的判定评审参与者能理解“威胁等级×脆弱性等级→风险等级”的映射规则，并接受该规则事先固化判定过程透明，审计可追溯到问卷答案和矩阵单元格当两个风险行的1—7等级相同但实际损失量级相差数倍时，查表组合无法解释差异，评审中会出现“6分和6分不是一回事”的质疑5.对策库与当前控制框架有可维护的映射每条推荐对策能对应到当前在用的控制编号或控制描述阶段三的对策优先级可直接转为整改任务对策库停留在通用控制层面，无法回答“这条对策对应云安全配置的哪一项”6.评估结果不需要跨周期比较评估是一次性的，或只比较“本次哪些行比上次等级升高”等级变动可作为趋势信号需要回答“同一个风险三年间从5分升到6分，实际恶化程度是多少”时，等级差不能翻译为损失差；且CRAMM的实施结果无法作为后续评估的参数复用六个条件中，条件3和条件4是当代使用中最常被突破的。董事会和预算流程对金额的需求，以及跨部门对“同分不同险”的质疑，是最常见的两个迫使评估者从乘积结构走向定量方法的压力源。条件1和2在云化和分布式架构中普遍不满足，但这不意味着CRAMM完全不可用；它意味着CRAMM的输出需要被限定在筛查层，而不是决策层。四、看到哪五个信号，就该把乘积换成分布当表3的某些条件不再满足时，继续用乘积结构不是“保守”，是用一个设计目的不匹配的工具回答它回答不了的问题。以下五个信号出现任何一个，乘积结构的输出不应再进入需要金额或尾部信息的决策环节。表4必须换用定量方法的五个触发信号触发信号观察到什么为什么乘积结构在此失效换哪条路1.决策问句中出现“多少金额”董事会材料、预算申请或保险额度设定要求一个货币数字或区间1—7等级没有量纲；从等级到金额不存在原生映射，强行映射等于用查表结果反推一个它不包含的信息对该风险行单独跑FAIR或等效的定量分析，产出ALE和第95百分位；CRAMM等级保留为筛查标签2.两个同等级风险行的实际损失量级相差超过一个数量级同样是6分，一行历史单次损失在万元级，另一行在百万元级矩阵组合丢失了损失规模信息；同一单元格内的风险异质性无法被等级表达对同等级但损失量级不同的行，放弃用等级排序，改用定量输出排序；或在CRAMM中增加“损失量级标签”作为二级排序键3.威胁频率无法用“每N年一次”锚定新型攻击没有历史频率记录，或频率随攻击面变化而快速变动五档威胁等级依赖频率描述；没有频率锚定，威胁等级退化为印象打分用暴露窗口和转化率反推频率（如FAIR的暴露因子路径），或用专家PERT三点估计；CRAMM问卷在此场景中标注“频率锚定缺失”4.资产边界在评估周期内发生变化评估期间新增或下线了云实例、API端点、第三方接口32对问卷的答案绑定在评估开始时的资产组上；边界变化后答案的可适用性无法判断将评估拆为“稳定核心”和“变动边缘”两层；变动边缘用轻量级场景化方法单独评估，不纳入CRAMM全量问卷5.需要回答“最坏年份损失多少”保险限额、应急资金、恢复优先级需要尾部信息乘积结构只产出等级或点估计，不产出分布引入蒙特卡洛模拟或FAIR的分布输出；CRAMM等级可用于筛选进入定量分析的行，不用于回答尾部问题信号1和信号5是最直接的切换理由。信号2、3、4出现在CRAMM内部：它们不要求整体放弃CRAMM，但要求对受影响的行并行运行定量方法，并以定量输出覆盖该行的决策用途。混合架构（第六节）就是为这些“部分行需要切换、其余行继续筛查”的情形设计的。五、同一场景，CRAMM和FAIR给出的答案差在哪用同一个风险场景分别走CRAMM和FAIR，可以看到两者的输出不在同一个信息层级上。CRAMM回答“这一行在1—7尺度上排在哪里”，FAIR回答“这一行的年度损失分布长什么样”。两者的差距不是精度高低，是输出类型不同。表5CRAMM与FAIR在同一场景上的输出差异维度CRAMMFAIR差异的实际后果输入资产估值分数（1—10）、威胁等级（五档）、脆弱性等级（三档）损失频率的PERT参数、单次损失的分项三点估计CRAMM的输入是等级和档位；FAIR的输入是可与事件记录或账单对照的数值计算方式矩阵查表，预定义映射蒙特卡洛模拟，从分布中抽样CRAMM输出可复现但不可分解；FAIR输出可分解到频率×规模的贡献输出类型1—7整数等级年度损失分布；ALE、第95百分位、超越概率等级不能直接用于预算；分布输出可以直接对接保险和准备金可比性同一矩阵内的行可以按等级排序；跨行业或跨评估周期比较缺乏共同标尺同一货币单位下可以跨行、跨周期、跨场景比较CRAMM适合“本批行之间排序”；FAIR适合“与预算、保费、阈值比较”可审计性可追溯到问卷答案和矩阵单元格可追溯到PERT参数和模拟输出列两者都可审计，但审计追问的问题不同：CRAMM问“为什么这个问卷答案对应这个威胁等级”，FAIR问“为什么mode取这个数”对策推荐内置近4000条对策，与风险等级和安全需求挂钩不内置对策库；输出用于判断哪些处置在经济上合理CRAMM在“下一步做什么”上有直接产出；FAIR在“做多少才够”上有直接产出当代适用性在传统静态系统、需要快速筛查和对策映射时仍然可用；在分布式、云原生、快速变化环境中可扩展性不足在需要金额、尾部损失和跨期比较时是更合适的分析层；需要数据基础或结构化的专家估计路径两者不是替代关系；最有效的用法是前者筛选、后者精算MDPI的框架对比研究给CRAMM的“可扩展性”评分较低，原因是其设计假设面向静态、边界清晰的组织基础设施，不覆盖分布式企业架构。同一研究将FAIR在“定量分析”和“分析深度”上排在所有对比框架之前。这两个结论合在一起的含义是：CRAMM的乘积结构在筛查功能上没有过时，在定量决策功能上已经被更专门的框架超越。六、不拆掉CRAMM：筛查层与精算层的分工整体替换CRAMM的代价包括：重建资产-威胁-脆弱性的对应关系、重新培训人员、放弃已有的对策库映射。更务实的路径是保留CRAMM作为筛查层，在需要金额和分布的行上接入精算层。表6混合架构的分工层使用的方法输入输出输出的去向不做什么筛查层CRAMM的三阶段（资产估值、威胁/脆弱性问卷、矩阵查表）资产清单、32对问卷、九类影响打分1—7风险等级；对策建议清单等级用于排定哪些行进入精算层；对策清单用于初步整改规划不用等级直接生成金额；不将等级差解释为损失差精算层FAIR、蒙特卡洛或等效的分布方法筛查层筛出的高优先级行的频率和损失三点估计ALE、第95百分位、超越概率进入董事会材料、保险限额、预算和风险偏好对照不对全部行跑精算；不对筛查层未筛出的行分配精算资源衔接规则筛查层输出到精算层输入的转换CRAMM等级≥5的行进入精算层；等级≤4的行在当期不精算，保留等级作为监控标签精算层产出的金额和尾部指标精算结果不回写CRAMM矩阵，也不修改CRAMM等级不试图在CRAMM的1—7和ALE之间建立固定映射公式；两者各自独立呈现衔接规则中的等级阈值（≥5）是一个可调整的起点，不是固定标准。如果组织的历史数据显示等级4的行也曾产生过需要董事会关注的损失，阈值可以下移到4。阈值的作用是控制精算层的工作量，不是对风险严重性做最终判断。乌克兰的混合方法研究采用了类似的分工逻辑：CRAMM用于识别系统脆弱性和定性聚焦关键风险，蒙特卡洛用于计算潜在损失的均值和标准差（案例中均值约172,000，标准差约17,888），资源据此投向高概率、高影响的临界风险。这个案例的启示不是“CRAMM和定量方法二选一”，而是CRAMM的定性聚焦减少了需要跑定量计算的范围。七、切换之前，先跑这张排查表在决定“整体换掉”或“保留CRAMM”之前，先用排查表确认问题是否真的出在乘积结构本身。有些情况下，问题出在输入、边界或使用方式上，换方法不会解决。表7切换排查表第一检查点看到什么信号先查什么换哪条路1.打开CRAMM报告，看风险等级的分布超过60%的行集中在同一等级（例如全部为5或6）查问卷答案是否在不同资产组之间缺乏区分度；威胁等级和脆弱性等级的锚定描述是否被跳过不换方法；先重新锚定威胁频率和脆弱性概率描述，按表2逐项核对问卷答案的依据2.抽三个同等级行，问“它们的实际损失量级是否接近”同等级行中至少两行的历史损失或合理估计相差一个数量级以上查这些行是否共用同一个矩阵单元格，而资产估值和损失规模信息在查表时被丢失对同等级但量级不同的行，在CRAMM之外加一列“损失量级标签”（万元级/十万元级/百万元级），作为二级排序键；仍然不引入金额3.看威胁分类是否覆盖当前主要攻击面新型威胁被归入“其他”，或问卷中没有对应问题查CRAMM的36类威胁清单与当前威胁情报的差距对未覆盖的威胁，不强行填入CRAMM问卷；在筛查层之外单独建一张“未覆盖威胁清单”，用轻量级频率×影响估计排序，不进入矩阵4.问评审参与者“6分意味着什么”回答集中在“高”“需要处理”，但没有一个人能说出6分和7分的实际差异查矩阵的等级描述是否只写了“高/很高”而没有行为含义为每个等级补一句“在该等级下，对策推荐的强度或审批层级是什么”，将等级与治理动作挂钩，而不是试图把等级翻译为金额5.看评估周期内的资产变更记录评估期间有超过10%的资产新增、下线或重大变更查这些变更是否发生在问卷完成之后、报告出具之前将评估拆为“冻结核心”和“变动边缘”；变动边缘用场景化快速评估，不与CRAMM全量问卷混在同一份报告中6.看董事会材料的问句问句中包含“多少钱”“最坏情况”“与保费比”查这些问句是否已经由CRAMM报告中的等级回答过确认：等级不能回答金额问题。对进入董事会视野的行启动精算层，CRAMM报告保留为筛查依据和措施建议来源第1行是最常见的误判：把“分数集中”当作“方法过时”，实际是问卷锚定失效。第6行是最常见的越界使用：用等级回答金额问题，然后因为回答不了而判定方法无用。排查表的作用是把“方法问题”和“输入问题”“使用问题”分开。八、什么时候坚持用CRAMM、什么时候停用：四条决策规则与两组矛盾决策规则一：如果当前评估的主要输出用途是排定对策优先级且决策问句中不出现金额，继续使用CRAMM的三阶段和乘积结构；如果出现金额问句，对涉及的行启动精算层，CRAMM不停用。决策规则二：如果同一等级内的行在损失量级上相差超过一个数量级，在CRAMM报告中增加“损失量级标签”列；如果该列仍不足以区分决策优先级，该批行改用定量方法排序，CRAMM等级保留为参考标签。决策规则三：如果资产边界在评估周期内发生超过10%的变更，不再对全量资产使用32对问卷；冻结核心资产继续走CRAMM，变动边缘另立评估单元，并在报告中分栏呈现，不将两个单元的风险等级合并排序。决策规则四：如果组织已经建立了事件记录和损失数据基础，并且每年需要回答保险限额或预算问题，将CRAMM的角色从“主评估方法”降为“筛查层”，精算层成为金额和尾部输出的唯一来源；CRAMM的对策库继续用于整改规划的起点。矛盾一：乘积结构的可解释性与定量输出的决策价值矛盾陈述：乘积结构用问卷和矩阵产出一个等级，评审参与者能看懂“为什么是6分”；定量方法产出分布和金额，董事会能用来做预算和保险决策。可解释的等级不携带金额，携带金额的分布对非技术评审者不透明。实质分析：这两个需求发生在不同的决策环节。等级的可解释性服务于筛查和整改排序——评审者需要理解“为什么这一行比那一行更急”。金额的决策价值服务于资源分配和风险转移——预算和保险需要量纲。试图用一个输出同时满足两个环节，结果是等级被追问金额，或者分布被追问“为什么均值是这个数”。两者各自在自己的环节里有效，混用才产生矛盾。权衡规则：筛查层和精算层各自保留自己的输出，不互相翻译。CRAMM等级不映射为金额；FAIR的ALE不回写为CRAMM分数。两者在董事会材料中并排出现：等级列用于说明筛查结论和对策建议，金额列用于说明资源含义和尾部风险。如果只允许保留一列，保留金额列，将等级移入附录，理由是金额可以向下兼容排序（高ALE通常对应高优先级），而等级无法向上兼容金额。退路：如果组织尚不具备运行精算层的数据或技能，CRAMM等级继续作为唯一输出，但在董事会材料中明确标注“本等级不回答金额问题；金额问题需另行分析”。这条标注本身是决策规则一的文字化，不是对CRAMM的否定。矛盾二：保留CRAMM的沉没成本与切换方法的边际收益矛盾陈述：组织已经在CRAMM的资产清单、问卷答案和对策映射上投入了时间和培训成本，整体切换意味着这些投入无法复用。CRAMM的实施结果本身也不能作为后续评估的参数被记忆或复用。切换的收益是获得金额和分布输出，成本是重建数据基础和人员能力。实质分析：保留CRAMM的筛查层不需要放弃已有投入：资产清单、威胁分类、对策库映射在筛查层中继续使用。切换的边际成本集中在精算层的新增能力——频率和损失数据的采集、模拟工具的使用、结果解释的培训。如果组织已经有事件记录和基本的财务损失数据，精算层的启动成本低于整体替换CRAMM。如果连事件记录都不完整，强行切换定量方法会产生“有分布但没有可靠输入”的结果，其可信度低于一个锚定良好的定性等级。权衡规则：不整体替换CRAMM，只在需要金额输出的行上新增精算层。精算层的启动条件是：该行有至少一年的事件记录或可复述的暴露窗口数据，且损失规模的三点估计中至少mode有依据。条件不满足的行，继续使用CRAMM等级，不强行跑定量。退路：如果精算层运行两个周期后仍无法产出稳定的ALE（不同随机种子下差异超过20%），说明输入数据不足以支撑定量分析；该批行退回CRAMM筛查层，精算层的投入转为“数据基础建设”而非“决策输出”，在数据积累完成前不将不稳定的ALE提交董事会。九、完整切换算例：从CRAMM的6分到FAIR的ALE区间示例案例，细节为合理设定。某机构对一个支付相关系统完成CRAMM评估，其中一行“外部攻击导致交易中断与数据泄露”的风险等级为6分（1—7），对策推荐为“增加边界防护和监控”。董事会要求该行给出金额区间。起点：CRAMM报告显示该行的资产估值为8分（1—10），威胁等级为“high”（预计约每4个月一次），脆弱性等级为“medium”（最坏情景概率33%—66%），矩阵查表得6分。事件记录显示过去3年确认事件为1次、2次、1次，无完整损失金额记录，仅有两笔响应成本账单（一笔18万，一笔35万）。分步操作：第一步，按表6的衔接规则确认该行等级≥5，进入精算层。第二步，按FAIR路径将场景写为“外部攻击者利用面向公网的支付接口漏洞，导致交易中断并触发持卡人数据泄露”，边界排除内部复制和勒索加密。第三步，频率PERT设为low=0,mode=1,high=3（与CRAMM的“high≈每4个月一次”不直接等同；CRAMM的威胁等级描述作为外部合理性检查，不作为mode的直接来源，mode以事件记录中位数1为准）。第四步，单次损失拆为一级损失（生产力+响应+替换）和次级损失（罚款+声誉），三点估计按历史账单和公开信息设定。第五步，跑10000次模拟，得到ALE约180万，第95百分位约520万。第六步，将CRAMM的6分和FAIR的ALE、第95百分位并排写入报告：6分保留在“筛查等级”列，ALE和第95百分位写入“金额含义”列，两列之间不加映射公式。第七步，按表7第6行确认董事会问句已经被金额列覆盖，CRAMM等级不再单独用于回答金额问题。不顺利环节一：第一次尝试将CRAMM的“high威胁等级（约每4个月一次）”直接转换为FAIR的频率mode=3次/年，导致模拟ALE升至约310万。当时的判断是CRAMM的威胁等级描述可以直接作为频率输入。试了用mode=3跑模拟，试完发现该值来自问卷的锚定描述，而不是本组织的事件记录；事件记录的中位数是1。新信息是：CRAMM的威胁等级锚定描述是跨组织的一般性参照，不能替代本组织频率数据。换的路是：mode取事件记录中位数1，CRAMM的“high”仅作为“实际频率可能高于记录中位数”的定性提示，在报告中并列呈现，不写入PERT参数。不顺利环节二：ALE稳定在180万后，安全团队希望把6分和180万建立一条“1分约等于30万”的线性映射，用于快速换算其他行。当时的判断是两者来自同一风险行，映射关系可以推广。试了用该映射换算另外两个6分行，得到的金额与这两行的历史账单量级明显不符。试完发现同等级行的损失规模差异远大于等级差异。换的路是：放弃建立分数到金额的映射；每一行需要金额时独立进入精算层，CRAMM分数只用于决定“是否进入精算层”，不用于“进入后得到多少钱”。不顺利环节三：精算层输出ALE180万后，评审中有人问“那CRAMM的6分还有什么用，是不是可以删掉”。当时的判断是金额已经覆盖了决策需求，等级冗余。试了在报告中删除等级列，试完发现对策推荐的优先级失去了排序依据：FAIR不内置对策库，金额高低不能直接告诉评审者“先装哪个控制”。新信息是：CRAMM的等级和对策库在“下一步做什么”上仍然有独立价值，金额在“做多少才够”上有价值。换的路是：恢复等级列和对策建议列，与金额列并排；报告的结构变为“等级→对策方向；金额→资源量级”，两列各回答一个问题。不顺利环节四：按表7第3行检查威胁覆盖时，发现“API接口滥用”在CRAMM的36类威胁中没有精确对应项，此前被归入“其他”。当时的判断是归入“其他”后威胁等级按问卷默认值处理。试了保留默认值，试完发现该类的风险贡献在精算层中被系统性低估。换的路是：在筛查层之外单列“未覆盖威胁清单”，对API滥用单独用暴露窗口法估计频率，不强行填入CRAMM问卷；该类的定量结果并入精算层输出，但在CRAMM等级中不体现，报告中标注“该威胁未纳入矩阵评级”。终点：报告包含三层输出。第一层：CRAMM的1—7等级和对策建议清单（筛查层）。第二层：FAIR的ALE约180万、第95百分位约520万、超过500万概率约6.5%（精算层）。第三层：一张“未覆盖威胁清单”，列出API滥用等未进入CRAMM问卷的威胁及其独立的频率×影响估计。三层之间没有映射公式；报告的阅读规则写在首页：“等级用于排序和对策方向；金额用于预算和保险；未覆盖清单用于提示矩阵的边界。”表8算例中CRAMM与FAIR输出的并列表述输出项CRAMMFAIR在报告中的位置风险等级6（1—7）不产出等级筛查等级列威胁等级high（约每4个月一次，一般性锚定）频率PERTlow=0,mode=1,high=3（本组织记录）FAIR参数在附录；CRAMM威胁等级在正文脚注单次损失不产出金额一级损失low=230,000,mode=550,000,high=1,550,000；次级损失low=100,000,mode=900,000,high=3,500,000精算层附录年度期望损失不产出ALE约1,800,000元正文金额列尾部损失不产出第95百分位约5,200,000元；超过5,000,000元的概率约6.5%正文金额列对策建议边界防护和监控（来自对策库）不产出对策建议正文对策列表9变量与处置变化变量算例中情形如果变量不同处置变化CRAMM等级6等级为4按当前衔接阈值（≥5）不进入精算层；等级4行保留在筛查层，在报告中标注“未精算，金额需求出现时单独启动”事件记录年数3年，中位数1不足1年频率mode标注为“探索性”；精算输出不进入董事会决策，只用于内部排序；满1年后重算威胁覆盖API滥用未覆盖无未覆盖威胁不需要“未覆盖威胁清单”；报告结构简化为两层CRAMM威胁等级与事件记录的一致性CRAMM为high，记录中位数为1，方向一致但量级不同CRAMM为high，记录中位数为5以记录为准重设mode；CRAMM威胁等级标注“与实际记录不一致，问卷锚定待复核”对策库映射推荐对策可对应到当前控制清单对策库无法对应到当前控制框架对策列只保留“方向性建议”；具体的控制编号在整改阶段另行映射，不宣称CRAMM对策直接可用事件记录年数在本算例中权重较高：它决定精算输出是否可以进入董事会决策。不足1年时，FAIR的ALE仍然可以计算，但只能作为“量级参考”，不能替代CRAMM等级成为决策依据。十、完整版、精简版、极简版分别跑什么表10三套场景操作序列版本适用判定操作序列不能妥协的底线完整版需要同时产出筛查排序、对策建议和金额/尾部输出按表1确认乘积发生在阶段二末尾→按表2核对问卷锚定和量表→按表3逐条判断六个成立条件→对不满足条件且触发信号出现的行，按表6进入精算层→按表7跑六项排查→在报告中并排呈现CRAMM等级/对策列与FAIR金额列，不加映射公式等级不映射为金额；精算层的mode必须有事件记录或暴露窗口依据；未覆盖威胁单独列示，不塞入“其他”精简版只需要判断“继续用CRAMM还是需要加定量”，时间受限按表3检查条件3（是否需要金额）和条件4（是否接受查表组合）→按表4检查信号1（金额问句）和信号5（尾部问题）→如果任一信号出现，对相应行跑FAIR的精简路径（频率三点+一级/次级两个PERT）→CRAMM等级保留为筛查标签金额需求出现时不将等级作为金额的代理；FAIR精简路径至少区分一级损失和次级损失，不合并为单一PERT极简版个人初判或非风险岗位判断“CRAMM还能不能用于这一行”打开CRAMM报告，看该行的风险等级和威胁等级→问三个问题：决策要不要金额？同一等级的其他行损失量级是否差很多？威胁是否在36类覆盖范围内？→三个问题中任何一个答案是“要/差很多/不在”，该行不只用CRAMM等级做决策，标注“需补充定量或未覆盖威胁评估”不将1—7等级直接解释为金额或概率；不在未覆盖威胁上强行使用矩阵等级；极简版的输出是“判断是否需要进一步分析”，不是最终风险值极简版的不符排查规则具体为：三个问题中“决策要不要金额”权重最高。只要答案是“要”，无论另外两个问题的答案如何，CRAMM等级都不能单独作为该行决策的依据。如果三个问题都是“不要/差不多/在范围内”，CRAMM等级可以作为该行的筛查结论，在报告中标注“本行未触发定量分析条件”。附录表11差异化增补汇总增补项所在板块对应缺口类型解决什么问题明确CRAMM的乘积是矩阵查表组合，不是连续乘法公式第一节多数资料把CRAMM描述为“资产×威胁×脆弱性”的算术乘积，但经典CRAMM不提供该公式避免读者在矩阵中寻找一个不存在的算式，也避免把RM/RA