OCTAVE Allegro实操：资产中心定性评估的工作坊脚本与产出模板

OCTAVEAllegro实操：资产中心定性评估的工作坊脚本与产出模板本文档提供：表1工作坊四阶段议程与引导脚本；表2风险度量准则工作表（工作表1—7）；式(1)相对风险分；表3关键信息资产画像表（工作表8）；表4资产容器清单表（工作表9）；表5关注区域工作表（工作表10）；表6四类威胁树的分支判定规则；表7威胁场景工作表（工作表11）；表8风险登记与排序表（工作表12）；式(2)风险评分；表9缓解措施选择表（工作表13）；表10排查顺序卡；案例“某区域医院患者计费数据资产的一次Allegro工作坊”；表11三套场景操作序列；表12数据来源与时效说明表。内部编号：OA-WS-2026-01。2026-11-02这一节的标题读完你能拿到什么这一节在全文中的功能一、工作坊开始前，先在白板上贴一张影响区域排序表式(1)相对风险分；表2风险度量准则工作表把工作坊第一个动作固定为先定尺子，再谈资产二、四个阶段、八步，放在一张议程里表1工作坊四阶段议程与引导脚本让引导者知道每个时段产出哪张工作表，谁在场三、资产清单只留能写出“为什么选它”的行表3关键信息资产画像表（工作表8）把资产清单从“系统列表”改成带选择理由和业主的画像四、容器不是服务器清单，是资产“活着”的地方表4资产容器清单表（工作表9）把存储、传输、处理的位置逐项列出，供威胁树使用五、关注区域先写，不急着画树表5关注区域工作表（工作表10）把模糊的“担心”转成可挂到威胁树分支上的条目六、四棵威胁树，每棵只问“这条分支有没有可能”表6四类威胁树的分支判定规则给出威胁树的逐分支判定动作，不要求画完整树七、威胁场景写成“谁、从哪、做了什么、导致什么”表7威胁场景工作表（工作表11）把关注区域转成可评分的具体场景八、风险评分只用两个乘数，排序用相对分表8风险登记与排序表（工作表12）；式(2)风险评分给出可复算的评分和排序动作九、缓解措施按“先改容器还是先改流程”分堆表9缓解措施选择表（工作表13）把处置动作落到容器或流程的具体位置十、工作坊产出对不上时，先查这六处表10排查顺序卡给出产出质量检查的固定顺序十一、某区域医院患者计费数据资产的一次Allegro工作坊完整案例：起点、分步操作、四次试错、终点展示评分和树分支判定在真实约束下的返工点十二、三套场景操作序列表11完整版、精简版、极简版的操作序列与不能妥协的底线按工作坊时长和产出用途选择深度十三、差异化与来源表12数据来源与时效说明表标明哪些来自公开方法指南、哪些是经验建议按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。接手的人被通知主持一场OCTAVEAllegro工作坊，会议室里坐着业务owner、IT运维和一位合规同事，白板是空的，手里只有一份八步骤清单，不知道第一个小时该让这些人干什么。一、工作坊开始前，先在白板上贴一张影响区域排序表OCTAVEAllegro的第一步不是列资产，是建立风险度量准则：组织用哪些影响区域判断一件事“严重”，以及这些影响区域之间的相对优先级。这一步不完成，后续所有风险评分都没有共同的尺子。工作坊的第一个动作是在白板上画出表2的列，让在场的人逐行填“高/中/低”的具体含义，然后排序。表2风险度量准则工作表（工作表1—7）影响区域低（填具体边界）中（填具体边界）高（填具体边界）相对优先级（1—5，5最高）声誉与客户信任例如：局部内部知晓，无外部传播例如：本地媒体报道或客户投诉增加例如：区域性或行业性传播，客户流失填1—5财务例如：损失低于年度预算的某一比例例如：损失在某一区间内例如：损失超过某一上限填1—5生产率例如：单部门中断数小时例如：跨部门中断一个工作日例如：关键业务停摆超过一个工作日填1—5安全与健康例如：无人员受伤例如：可记录工伤或短期健康影响例如：严重伤害或长期健康影响填1—5罚款与法律处罚例如：无监管处罚或仅口头提示例如：整改令或罚款在某一区间例如：罚款超过某一上限或业务限制填1—5用户自定义（如适用）按需填写按需填写按需填写填1—5表后解释：排序规则是优先级最高的影响区域赋5，最低的赋1，中间依次递减。如果工作坊有五个影响区域，“安全与健康”最重要，则“安全与健康”赋5。这张表一旦定下，整个评估不再逐资产重新调整影响区域，只调整某个具体场景在该区域下的“影响等级”（低=1、中=2、高=3）。相对风险分由式(1)在各步骤中累积计算：S其中Sk为第k个场景的相对风险分；Pj为第j个影响区域的相对优先级（表2最后一列）；Ijk为该场景在第j变量定义和替换说明：Pj直接取表2排序结果，不另行打分。Ijk来自表7威胁场景表“影响等级”列，不取“感觉严重程度”。两个该公式特有的常见错误：第一，把Pj按资产逐次重排，导致同一影响区域在不同资产间优先级漂移，Sk校验方法：取表2中优先级最高的影响区域，在表7中找该区域影响等级为“高”的场景，用式(1)手算该场景的Sk；再取工作坊结束时表8的排序，检查该场景是否排在靠前位置。如果该场景在Sk工作坊引导者在表2填完后说一句：“这张表在后续每一步都会被引用，现在不填数值，后面所有‘严重’‘不严重’的讨论都不成立。”然后进入下一节议程。二、四个阶段、八步，放在一张议程里OCTAVEAllegro的八个步骤分属四个阶段：建立驱动（步骤1）、画像资产（步骤2—3）、识别威胁（步骤4—5）、识别与缓解风险（步骤6—8）。一场聚焦单个关键信息资产的工作坊，如果参与者时间有限，通常安排为两个半天或一天，表1给出可执行的议程和每个时段的引导动作。表1工作坊四阶段议程与引导脚本时段阶段/步骤产出工作表引导动作参与者第1小时阶段1：建立驱动（步骤1）表2风险度量准则（工作表1—7）白板上画表2，逐行问“低是什么样、高是什么样”，当场排序全体第2小时阶段2：画像资产（步骤2—3）表3资产画像（工作表8）、表4容器清单（工作表9）先让每人写三个“丢了会出事”的信息对象，合并同类项后选一个作为本次焦点资产；再追问“它存在哪些地方”业务owner、IT运维第3小时阶段3：识别威胁（步骤4—5）表5关注区域（工作表10）、表6威胁树分支判定、表7威胁场景（工作表11）先写“担心什么”，不限制格式；再把每条关注区域挂到四棵威胁树的分支上；对每个分支只问“有没有非negligible的可能”全体第4—5小时阶段4：识别与缓解风险（步骤6—8）表8风险登记与排序（工作表12）、表9缓解措施（工作表13）逐场景填影响区域、影响等级、概率，用式(1)和式(2)算分排序；按排序逐条问“改容器还是改流程”业务owner、IT运维、合规表后解释：这张议程的约束是“一个焦点资产”。如果组织需要对多个资产做评估，表1的步骤2—8对每个资产重复一次，但表2的影响区域和优先级只建一次，全组织共用。第2小时的产出直接决定第3小时威胁树有没有可挂的资产容器；容器清单为空时，威胁树只能停在“人类行为者使用网络访问”这类抽象分支上，无法落到具体场景。三、资产清单只留能写出“为什么选它”的行关键信息资产画像（工作表8）解决的不是“有哪些系统”，是“哪个信息对象值得做完整评估，为什么”。工作表8的列包括：关键资产名称、选择理由、描述、业主、保密/完整/可用安全需求、最重要的安全需求。表3关键信息资产画像表（工作表8）(1)关键资产(2)选择理由（为什么是它）(3)描述（边界与形态）(4)业主（岗位，非姓名）(5)安全需求（C/I/A逐项写）(6)最重要的安全需求（打一个X）填信息对象名称，不填系统名填“如果它被泄露/篡改/丢失/访问中断，哪个影响区域会受影响”写清范围：包含什么、不包含什么；电子还是纸质写岗位名称，不写个人姓名；有多个业主时分行逐项写具体需求，不写“高/中/低”从C/I/A中选一个，后续步骤用它判影响示例：患者计费数据如果被篡改，财务影响区域和罚款区域同时受影响；如果访问中断，生产率区域受影响某业务线全部住院患者的计费记录，含费用明细和医保结算状态，存储于计费系统和备份磁带计费运营主管；财务系统管理员（容器业主）C：仅计费、财务和审计岗位可读；I：结算前必须经二次核对；A：工作日8—18时可用性不低于99.5%X（完整性）表后解释：第(2)列是筛选器。写不出“为什么选它”的资产，不进入本次工作坊的后续步骤，留在候选清单中下一轮处理。第(6)列只打一个X，后续表7在判定影响时，优先看该安全需求被破坏的后果，不要求同时评估C、I、A三个方向的全部组合。第(4)列写岗位不写姓名，是为了在工作坊后人员变动时画像仍然可用。四、容器不是服务器清单，是资产“活着”的地方信息资产容器是信息资产被存储、传输或处理的位置，包括技术容器（硬件、软件、应用系统、服务器、网络），也包括纸质文件夹、人员，以及组织外部的云服务和第三方。工作表9要求逐项列出容器，并标注该容器是内部还是外部、由谁管理。表4资产容器清单表（工作表9）容器名称容器类型（技术/物理/人员/外部）该资产在此处做什么（存储/传输/处理）容器管理岗位内部或外部计费应用数据库技术（应用系统）存储和处理计费明细财务系统管理员内部备份磁带库技术（物理介质）存储夜间全量备份基础设施运维岗内部医保结算网关技术（网络/接口）传输结算报文集成平台运维岗内部（接口对端为外部）计费运营人员工位人员处理异常账单时在本地表格中临时存放计费运营主管内部云端报表服务外部（SaaS）处理和存储汇总报表业务系统负责人外部表后解释：这张表的作用是给下一节的威胁树提供“攻击面清单”。每一行容器至少对应一个可能的威胁树分支：数据库对应“人类行为者使用网络访问”分支，工位对应“人类行为者使用物理访问”分支，外部云服务对应“技术问题”或“外部依赖”分支。如果某类容器在表4中为空，表6中对应威胁树的整棵分支可以暂时不展开，但需要在表8的备注中记录“该类型容器未识别”。五、关注区域先写，不急着画树关注区域（AreasofConcern）是“可能威胁信息资产的条件或情境”，写的时候不要求格式完整，先让参与者把担心的东西倒出来。工作表10的列是：关注区域描述、对应影响区域、该影响区域下的优先级、影响等级、相对分。表5关注区域工作表（工作表10）关注区域（写“什么情况下会出事”）对应影响区域该区域优先级（从表2复制）影响等级（1/2/3）相对分（优先级×等级）计费应用数据库的账号被外包运维人员共享使用，无法追溯到个人罚款与法律处罚428夜间备份磁带在运送至异地库房途中丢失声誉与客户信任5315医保结算网关在月末结算高峰时段过载，报文积压生产率236计费运营人员在本地表格中临时存放异常账单，未及时删除罚款与法律处罚428云端报表服务的供应商发生数据泄露声誉与客户信任5210表后解释：表5不追求完整，追求“能挂到树上”。每一行关注区域在下一节被映射到表6的某棵威胁树的某个分支；挂不上去的行，说明它描述的不是威胁条件，可能是控制缺陷或流程问题，退回给提出者改写或移入表9的流程改进项。相对分仅用于在本表内部粗排，最终排序以表8的式(2)为准。六、四棵威胁树，每棵只问“这条分支有没有可能”OCTAVEAllegro使用四类威胁树来结构化威胁场景：人类行为者使用技术手段、人类行为者使用物理手段、技术问题、自然/环境问题。工作坊中不需要画出完整的树形图；逐棵树的逐分支问“对当前资产和表4中的容器，这条分支有没有非negligible的可能”，有则保留并进入表7，没有则划掉。表6四类威胁树的分支判定规则威胁树一级分支（按行为者/来源）二级分支（手段/条件）对当前资产问什么保留判据挂到哪张表人类行为者使用技术手段内部人员、外部人员、合作方网络访问、系统权限滥用、恶意代码、社会工程该资产的某个容器是否可通过网络或系统权限被触及表4中至少一行容器的类型为技术，且该容器有网络或账号访问路径表7场景人类行为者使用物理手段内部人员、外部人员物理进入、设备窃取、介质丢失、尾随该资产是否存在于可被物理接触的容器中（工位、磁带、打印件）表4中至少一行容器类型为物理或人员表7场景技术问题硬件故障、软件缺陷、容量不足、配置错误按容器类型细分该资产的某个技术容器是否可能因故障、缺陷或配置错误而不可用或被篡改表4中有技术容器，且该容器承担存储或处理表7场景自然/环境问题火灾、水浸、电力中断、极端天气按设施位置细分该资产的容器是否位于可能受环境事件影响的物理位置表4中有内部物理容器，且该位置不在已知冗余覆盖范围内表7场景表后解释：判定动作是“有容器、有路径、有可能”三问。三问中任何一问答“否”，该分支不进入表7，但在表5对应关注区域行旁边标注“树分支未通过”，供工作坊结束时复核。四棵树全部走完后，表7中保留的场景数通常少于表5的关注区域数，因为一部分关注区域被合并到同一场景，一部分被判定为树分支未通过。七、威胁场景写成“谁、从哪、做了什么、导致什么”威胁场景是“信息资产可能被破坏的具体情境”，通常包含行为者、手段、条件、后果。工作表11要求每个场景写成一句可核查的话，并标明它来自哪棵树的哪个分支。表7威胁场景工作表（工作表11）场景编号来自威胁树/分支行为者（谁）手段/条件（从哪、做了什么）直接后果（对资产）受影响的安全需求（C/I/A）涉及容器（从表4复制）T-01人类行为者/技术手段—外部人员—系统权限滥用外部攻击者利用外包运维共享账号登录计费数据库，读取或修改计费明细计费数据被未授权读取或篡改I（完整性）、C（保密性）计费应用数据库T-02人类行为者/物理手段—外部人员—介质丢失运输人员或外部人员备份磁带在运送途中遗失，磁带未加密计费数据可能被未授权读取C备份磁带库T-03技术问题—容量不足无行为者（技术条件）月末结算高峰时结算网关处理能力不足，报文积压结算延迟，计费流程中断A（可用性）医保结算网关T-04人类行为者/技术手段—内部人员—未授权存放计费运营人员将异常账单导出到本地表格，工作结束后未删除计费数据在受控环境外留存C计费运营人员工位T-05技术问题—外部依赖/供应商云服务供应商侧的攻击者或故障云端报表服务发生数据泄露或长时间不可用汇总报表数据暴露或业务中断C、A云端报表服务表后解释：每个场景的“涉及容器”必须来自表4，不能写表4中不存在的容器。如果某个场景找不到对应容器，说明表4的容器清单有遗漏，回到表4补行后再继续。表7不包含“概率”和“影响等级”，这两项在下一节表8中填写。八、风险评分只用两个乘数，排序用相对分风险评分在OCTAVEAllegro中由两个部分合成：严重性来自影响区域优先级与影响等级的乘积，风险评分再乘以概率。工作表12用于逐场景填写并排序。表8风险登记与排序表（工作表12）场景编号影响区域（可多行）该区域优先级（表2）影响等级（1/2/3）相对分Sk概率（高/中/低）概率值（高=3，中=2，低=1）风险评分（式2）排序T-01罚款与法律处罚；声誉与客户信任4；52；38+15=23中2461T-02声誉与客户信任5315低1154T-03生产率236高3183T-04罚款与法律处罚428中2165（与T-02接近）T-05声誉与客户信任；生产率5；22；210+4=14中2282式(2)为风险评分：R其中Rk为第k个场景的风险评分；Sk为式(1)算出的相对风险分；L变量定义和替换说明：Lk两个该公式特有的常见错误：第一，把概率值直接乘到单个影响区域的分数上，而不是乘到Sk总和上，导致多影响区域的场景被系统性低估；第二，概率“高”不附任何观察依据，式(2)的排序退化为Sk校验方法：取排序第一的场景，手算Sk和Rk，确认排序规则：按Rk从高到低排列，不设“合格线”。排序用于决定表9中优先处理哪些场景，以及工作坊结束后先向管理层送哪三条。Rk相同或接近时（差距小于总分的10%），按式(1)的Sk高低排序，S九、缓解措施按“先改容器还是先改流程”分堆缓解措施选择（步骤8）不是写“加强管理”，是逐场景决定动作落在容器上还是流程上，并标注预期降低的是概率还是影响。工作表13的列包括：场景编号、缓解动作、作用于哪个容器/流程、降低概率还是影响、执行岗位、复查日期。表9缓解措施选择表（工作表13）场景编号缓解动作作用于（容器或流程）预期降低（概率/影响/两者）执行岗位复查日期T-01取消外包运维共享账号，每人独立账号，数据库访问日志保留并每月抽查计费应用数据库（容器）概率财务系统管理员填日期T-01在计费数据库对敏感字段启用访问审计告警，非计费岗位读取时触发计费应用数据库（容器）影响（缩短发现时间）安全运营岗填日期T-02备份磁带启用加密，运输交接双人签收备份磁带库（容器）概率；影响基础设施运维岗填日期T-03月末结算前扩容结算网关处理能力，或调整批处理时间窗口医保结算网关（容器）概率集成平台运维岗填日期T-04在计费运营流程中增加“异常账单本地文件当日清理”检查步骤计费运营流程（流程）概率计费运营主管填日期T-05与云端报表服务供应商补充数据泄露通知时限和审计权条款外部合同（流程）影响业务系统负责人填日期表后解释：每个排序靠前的场景至少有一行缓解动作。动作写“改哪个容器或哪条流程”，不写“加强安全意识”。如果某场景的缓解动作无法落到表4的某个容器或某条已有流程上，说明该场景可能需要在表4中补充容器，或在流程文档中找到对应步骤后再填。表9填完后，工作坊产出的是表3、表4、表7、表8、表9五张表，而不是一份叙述性报告。十、工作坊产出对不上时，先查这六处工作坊结束时，如果表8的排序无法让参与者信服，或者表9的动作与场景对不上，按表10的顺序排查。表10排查顺序卡顺序第一检查点什么算失败换哪条路1打开表2，查影响区域的“低/中/高”是否写了具体边界，而不是只写形容词至少两个影响区域的高低边界无法被第三个人用同一标准判断暂停评分，回到表2逐行补边界；补完后重跑表52取表5，查每一行关注区域是否已挂到表6某棵树的分支存在关注区域未出现在表7的任何场景中，也未标注“树分支未通过”为未挂接的行补做表6判定，或在表7中新建场景并补全行为者、手段、容器3取表7，查每个场景的“涉及容器”是否在表4中有对应行至少一个场景引用了表4中不存在的容器回到表4补容器行，或将该场景标记为“容器未识别”，不进入表8评分4取表8，逐场景复核概率列是否有可观察依据概率为“高”或“中”的场景中，有超过一半没有写依据回到表8概率备注列补依据；无依据的场景概率降为“低”或标记“待定”5取式(2)排序结果，与参与者在工作坊结束时的口头排序比对排序第一的场景在口头讨论中从未被提及检查该场景的Sk6取表9，查排序前三的场景是否每个至少有一条缓解动作排序前三中有场景在表9中为空不结束工作坊，当场为该场景填写至少一条“改容器或改流程”的动作；填不出的，将场景移入“待进一步分析”清单，不声称已处置表后解释：第1步和第2步失败时，表8和表9的产出不能作为决策依据；先修表2或表7，再重新计算。第5步的“口头排序”比对用于发现公式被机械使用、参与者的实际判断没有被纳入的情况。十一、某区域医院患者计费数据资产的一次Allegro工作坊示例案例，细节为合理设定。人物称“某医院信息安全协调员”。起点。协调员主持一场一天的工作坊，参与者包括计费运营主管、财务系统管理员和合规岗。焦点资产选为“住院患者计费数据”，表4容器清单列出了计费数据库、备份磁带、医保网关、运营工位和云端报表服务五个容器。分步操作。第一步，表2五个影响区域排序完成：声誉与客户信任=5，罚款与法律处罚=4，安全与健康=3，财务=2，生产率=1。第二步，表5写出七条关注区域，其中两条在表6判定中未通过（“医生口头讨论计费信息”挂在人员容器上但无物理或技术路径，“打印机卡纸”属于设备维护而非威胁条件）。第三步，表7保留五个场景，表8用式(1)和式(2)算出T-01（共享账号导致数据篡改）排序第一，R=不顺利环节。第一次试错。信号是表8排序第一的T-01在参与者口头讨论中没有人主动提起。协调员当时的假设是“大家对共享账号已经习以为常，不觉得是风险”。他做了一件事：请财务系统管理员当场打开数据库账号列表，数出共享账号的数量。结果是共享账号有4个，覆盖全部外包运维人员。试完后发现的新信息是：共享账号不是“没意识到”，是被当作运维便利默认接受；口头不提不是因为不严重，是因为不在日常讨论词汇里。上一轮假设被部分推翻，问题不在感知，在评分输入没有把“已存在的配置”转化为概率依据。第二次试错。协调员假设可以把概率从“中”调为“高”，因为共享账号已经存在。但合规岗提出：概率“高”需要写“过去12个月发生过类似事件”，而共享账号尚未导致已知事件。这一轮的新信息是：概率不能因为“配置存在”就升为高，需要区分“暴露存在”和“事件已发生”。协调员把T-01概率保持“中”，但在表8备注列写入“暴露条件已确认存在（4个共享账号），事件未记录”。第三次试错。表9为T-01填的第一条动作是“取消共享账号”，但财务系统管理员指出外包合同规定运维响应时限为30分钟，独立账号加审批流程可能使响应超时。协调员意识到缓解动作与合同约束冲突。这一轮把问题从“填动作”推到了“动作与现有约束的兼容性”。他改为“保留共享账号作为紧急通道，但启用会话录像和事后审批”，并在表9中把该动作的“预期降低”标为“影响（缩短发现和追溯时间）”，同时新增一条长期动作“下一轮外包合同谈判加入独立账号条款”。第四次试错。工作坊结束前，协调员发现表9中T-05（云端报表服务供应商泄露）的动作只有“补充合同条款”，而合同修订周期超过六个月。他按表10第6步将该场景移入“待进一步分析”，并在表8排序中保留T-05的位置，但标注“缓解动作受外部合同周期约束”。这一轮的新信息是：排序靠前不等于本季度可处置，缓解措施表需要区分“可立即执行的容器动作”和“依赖外部流程的动作”。终点。工作坊产出五张表：表2影响区域排序、表3资产画像、表4五个容器、表7五个场景、表8排序（T-01第一，T-05第二）、表9六条动作（其中T-01两条，T-05一条标为外部依赖）。协调员向管理层送交的是表8排序前三和表9中对应的可立即执行动作，不附叙述性报告。表后说明：案例中变量表如下。变量案例中情形如果变量不同处置变化焦点资产数量1个若工作坊需覆盖3个资产表2只建一次，表3—表9对每个资产重复；表8排序跨资产合并，按Rk影响区域数量5个若只保留3个（声誉、罚款、生产率）式(1)中n=3，S共享账号与合同的冲突存在，响应时限30分钟若无外包合同约束T-01的第一条动作可直接改为“取消共享账号”，不需保留紧急通道供应商合同修订周期超过六个月若合同可在季度内修订T-05可留在表9的“可执行”堆中，不标为外部依赖表后一句话：该案例中权重较高的变量是焦点资产数量和合同约束，前者决定工作坊时长和表8的合并方式，后者决定表9中哪些动作可以立即执行。十二、三套场景操作序列表11三套场景操作序列版本选择判定操作序列不能妥协的底线完整版产出需提交管理层或作为正式风险评估记录按表1四阶段走完；表2填完并排序；表3—表9逐资产填完；式(1)和式(2)逐场景手算复核；按表10六步排查表2的影响区域边界必须能被第三人按同一标准判断；表7每个场景的容器必须在表4中存在；表9排序前三的场景每个至少一条动作精简版时间受限，只需找出前三个需要处置的场景只做表2、表3、表4、表7、表8；跳过表5的独立填写，直接从表7开始；表9只为排序前三的场景填动作表2排序完成；表8的概率列有至少一句可观察依据；排序前三的场景有容器可挂极简版个人学习或非风险管理岗位，判断这个方法能不能用只做一件事：选一个信息资产，填表3的六列；然后从表6四棵树中各选一个分支，问“有没有可能”；有可能的分支写一句表7格式的场景表3的第(2)列“为什么选它”必须写出来；至少一棵树的一个分支判定为“有可能”并写成场景表后解释：完整版和