以一致的方式度量安全风险

尽管 ISO/IEC 27002、PCI DSS、HIPAA 等框架都要求定期风险评估，许多组织仍不知从何下手。作者梳理了基本流程：划定评估范围、识别威胁（含断电、飓风等非人为因素）、结合已有控制量化影响与发生概率；成熟组织可引入 NIST SP 800-30、OCTAVE 等方法论。

一提度量指标，多数安全从业者就皱眉，但它是任何成熟度级别的安全项目都不可或缺的部分。作者将指标分为三类：投入类（培训时长、补丁耗时）、结果类（距上次泄露天数、未修复漏洞数）、环境类（已知漏洞与系统数量），并用漏洞老化趋势说明如何向上级证明安全投入的价值。

NetSPI 提出安全团队评估 AI/ML 系统应先问的五个问题，涵盖模型业务用途、目标函数、训练数据来源等，帮助以对抗视角审视对抗性机器学习（Adversarial ML）风险，把安全内建到 AI 落地全程。

NetSPI 推出威胁建模服务：结合自有方法论与 STRIDE、PASTA，通过六步流程拆解系统组件与信任域、枚举攻击场景并给出优先级修复建议，帮助在规划早期做出基于风险的决策。

三位资深 CISO（R1 RCM、Hudl、Imperva）分享安全预算汇报心得：与其依赖恐惧式叙事，不如借助 NIST CSF、CMMI 等成熟度指标对标行业均值，用风险登记与同行基准向董事会论证安全投入的必要性。

介绍三种改进攻击面管理策略的方法，以降低风险、加强组织安全并提升攻击面可见性。