Milliman 白皮书指出,传统频率-严重性(f/s)模型在评估网络风险时存在局限性,无法有效捕捉网络风险的对抗性、高速度和隐蔽性特征,导致企业管理者对风险认知存在盲点。f/s 模型基于历史数据拟合和专家判断(如 PERT 分布),但存在假设与现实脱节、数据来源单一、无法反映新型攻击等问题,尤其在应对国家支持的攻击等复杂场景时失效。
相比之下,因果关系模型结合复杂性理论、网络科学和贝叶斯统计,通过专家知识和情境分析构建风险路径,能更准确地反映网络风险的动态性和相互关联性。该模型允许专家针对具体因素进行评估,并通过概率建模整合信息,从而识别潜在的风险传导路径和关键控制点。
研究结论强调,网络风险无法完全消除,企业需通过建模识别关键风险路径,评估风险缓解措施的有效性,并制定合理的风险管理策略。因果关系模型因其对现实复杂性的更好拟合,成为评估网络风险更优的选择,帮助企业理解风险因素间的相互作用,为决策提供更可靠的依据。