一眼纵览
今天 Day 5 我们用 60 分钟打通「风险管理快闪副本」——先用漫画式视角速读两个国际标准（NIST & ISO/IEC 27005），再把抽象概念变身为炫彩 Risk Heat Map，最后亲手填一张迷你 风险登记簿。学完你将能：
-
讲出 NIST SP 800-30 “Frame-Assess-Respond-Monitor” 四步与 RMF 六步。(如何应用风险管理框架(RMF))
-
画出 ISO 27005 的 PDCA 风险循环。
-
用 Likelihood × Impact 热力图把威胁彩虹化，并优先级一秒洞穿。
-
写出 5 行可执行的风险缓解动作，塞进自己的风险登记簿。(Reddit)
① 框架速读：把“风险”装进两台机器
NIST 视角：两台“黑盒”
| 模块 | 核心动作 | 记忆彩蛋 |
|---|---|---|
| RMF 6 步 | 分类→选择→实施→评估→授权→监控 | “C-S-I-E-A-M像在打 CS: IEM！” |
| SP 800-30 | Frame → Assess → Respond → Monitor | 用📸 Frame 镜头框住 → 🔍 Assess → 🛡️ Respond → 🔄 Monitor 循环 |
实战记忆法：把 RMF 六步当作一次 HW 攻防项目的甘特图——“分类”=划范围，“授权”=拿测试委托书，“监控”=交付后持续跟踪。
ISO/IEC 27005：PDCA 的安全味
- Plan：定义上下文、风险准则；
- Do：风险识别 → 风险分析 → 风险评价；
- Check：比较剩余风险与接受度；
- Act：决定减少 / 接受 / 转移 / 规避。
用循环形象化，就像永动的“安全陀螺”。
② 视觉化神器：Risk Heat Map 3 步出图
- 列风险：挑 10 条来自 Day 3 ATVR 脑图的“威胁-漏洞”组合。
- 双轴打分：Likelihood 1-5、Impact 1-5。使用 NIST 定义的“VERY-LOW → VERY-HIGH”因子表辅助量化。([NIST 计算机安全资源中心][1])
- 配色：绿色接受、黄色监控、橙色缓解、红色立即行动。参考 Balbix 的示例配色可读性高。(Balbix)
小技巧：如果觉得 25 格太细，可改用 3 × 3（高/中/低）版本，Safe Security 给了 4 步“精简热力图”的方法。(Safe Security)
③ 风险登记簿：把彩格写进表格
| # | 风险描述 | L | I | 等级 | 对策 | 责任人 | 截止 |
|---|---|---|---|---|---|---|---|
| 1 | 云服务器 22 端口弱口令 | 4 | 4 | 红 | 立即强密+双因子 | 自己 | 今晚 |
| 2 | 家用路由固件过期 | 3 | 3 | 橙 | 周末升级固件 | 自己 | 本周日 |
资料：CyberSaint 与 Reddit 贴出了多种模板，从 Excel 到 GRC 平台一应俱全。(Reddit)
④ 10-分钟闯关：Risk-Rush Mini Game
- 骰子：掷 2 D6，当作 L 与 I 的随机值。
- 填格：把新生成的风险点涂进你的 Heat Map。
- 策略：红色＝写缓解行动；黄色＝安排监控；绿色＝记录接受理由。
- 奖励：连消 3 个红格 → 升级“风险炼金师 I”。
⑤ 今日 Checklist
- 说出 NIST RMF 6 步与 SP 800-30 四环。
- 画一张 5 × 5 Heat Map 并贴 3 条真风险。
- 建立个人风险登记簿（≥5 行）。
- 拍图或截图发我——我会给色彩与优先级建议。
- 预习 Day 6：黑客五阶段 & ATT&CK 标签，准备“攻防连连看”！
更多深挖
- NIST 官网 RMF 项目页面
- Investopedia 风险管理框架五构件，理解企业视角。
- TechTarget 对 Risk Map 的定义与示例。
一小时快闪完成？ 如果时间不足，可先做 3 × 3 Heat Map + 3 行登记簿；剩余内容明晚补票。乐在其中、颜色要炫——明天继续打怪！
