ISACA Certified in Risk and Information Systems Control (CRISC)

**Risk vs Threat vs Vulnerability 三者混用** — 这是 CRISC 考试最基础也最高频的概念错误。**Threat**（威胁）是"可能造成伤害的事件或行为"（如黑客攻击、自然灾害、员工失误）；**Vulnerability**（漏洞）是"系统 / 流程 / 人的弱点"（如未打补丁、弱密码、缺少审批）；**Risk**（风险）= Threat × Vulnerability × Impact，是三者结合后产生的"可能性 × 影响"。一道典型题："未安装 antivirus" 是什么？答案是 **Vulnerability**（漏洞）而不是 Risk。"勒索软件" 是什么？答案是 **Threat**（威胁）而不是 Risk。"因为没装 antivirus 可能被勒索软件加密导致业务停摆" 才是 Risk。

**Inherent Risk vs Residual Risk 分不清** — **Inherent Risk** 是"没有任何控制时的原始风险"；**Residual Risk** 是"实施控制后剩下的风险"。CRISC 考试里只要题目出现 "after controls are applied"、"after mitigation"、"remaining risk" 都指 Residual Risk。而且要记住：**Residual Risk 必须降到 Risk Appetite 以内才算可接受**，如果降不到，要么加强控制、要么让 risk owner 正式签字 Accept。很多人把"加了控制之后还剩下的风险"当成 Inherent，整题直接挂掉。

**KRI vs KPI vs KCI 三个指标搞混** — 三个都是"Indicator" 但用途完全不同。**KPI（Key Performance Indicator）** 衡量绩效目标的达成（如 "系统可用率 99.9%"）；**KRI（Key Risk Indicator）** 提前预警风险恶化（如 "未打补丁系统数量超过 50 台"）；**KCI（Key Control Indicator）** 衡量控制是否有效运行（如 "firewall 规则变更未审批次数"）。CRISC 考试最喜欢问"以下哪个是 KRI" — 正确答案一定是"能在风险变成 incident 之前触发预警"的指标。而且 KRI 必须有 **threshold（阈值）+ escalation path（升级路径）**，没有阈值的"指标"不能算 KRI。

**风险处置四策略（Risk Treatment）场景选错** — 四个策略是 **Mitigate（缓解）/ Transfer（转移）/ Avoid（规避）/ Accept（接受）**。高频坑：(1) "购买 cyber insurance" → **Transfer**（不是 Mitigate，因为保险不降低风险发生概率，只转移损失）；(2) "取消一个高风险的新产品线" → **Avoid**（不做了）；(3) "部署 WAF 防火墙" → **Mitigate**（降低 likelihood 或 impact）；(4) "CFO 签字同意接受 residual risk" → **Accept**（必须有正式签字 + 文档化到 risk register，口头接受不算）。还有一个常见错：**外包业务给第三方** 属于 Transfer 还是 Mitigate？答案是 **Mitigate** — 因为业务风险本身并没有真正转移，第三方出事你公司还是要负责（合同可以转移部分财务损失，但监管和声誉风险留在你这里）。

**定性 vs 定量风险分析（Qualitative vs Quantitative）适用场景判断错** — **Qualitative Analysis**（定性）用 High/Medium/Low 或 1-5 打分，快速、便宜、主观，适合风险初筛和大量风险场景；**Quantitative Analysis**（定量）用具体金额，公式是 **ALE（年化损失期望）= SLE（单次损失）× ARO（年发生次数）**，准确但耗时贵，适合高价值决策（如"要不要花 $500k 部署 DLP"）。考试典型题："一家初创公司刚建立风险管理流程，应该用哪种分析？" → 答案是 Qualitative（因为没有足够的历史数据做 Quantitative，而且成本承受不起）。反向："要向董事会申请 $2M 安全预算" → 答案是 Quantitative（因为需要具体 ROI 数据说服高管）。

**忽略 Risk Owner 的概念** — CRISC 反复强调每个风险必须有一个明确的 **Risk Owner**，而且这个 owner **必须是业务方**（business unit head），不能是 IT 部门或 risk manager。原因是只有业务方才有权力决定"接受 / 拒绝 / 支付控制成本"。典型错题：某系统发现 critical 风险，risk manager 应该 FIRST 做什么？选项里有 "implement control"、"notify CIO"、"assess business impact"、"identify risk owner"。正确答案通常是 **identify risk owner** 或 **assess business impact**，因为没有 owner 就无法做任何决策。

**只刷题不读 CRM** — CRISC 的题目措辞非常 ISACA-specific，一道题 4 个选项经常"全都对"让你选"最对的"。不读 CRM 根本不知道 ISACA 的"官方最对"标准。推荐顺序永远是：CRM → QAE → 模考，不能跳步。

**用旧考纲准备（2015 版以前）** — 2021 新考纲把 4 大 domain 做了大幅调整，特别是 Domain 3 Risk Response 从 23% 提到 32%，Domain 1 Governance 从 27% 降到 26% 但内容扩展。用 6th edition 或更早的 CRM 备考会把精力放错地方。确认你用的 CRM 是 **7th edition 或更新**。