Anthropic GRC Take-home：限时评估五项资产的风险与控制

题意与假设

这道练习题保留了面经中值得训练的核心约束，并将需要澄清的条件单独列出。现场拿到变体时，先和面试官确认这些条件。

• 训练版先给每项资产一个模板，不能编造真实五资产名称、现有控制或合规范围。
• 风险评级采用预先定义的影响/可能性尺度，若证据不足标不确定性；不可将主观打分包装成客观概率。
• 控制措施要指向明确风险、所有者、实施证据与残余风险；某认证是否要求该控制需按适用标准和组织范围另行核查。

解题路线

1. 先快速清点五资产的业务用途、数据/权限、依赖、所有者与暴露面；记录题面确实给出的事实和缺失信息。NIST CSF 2.0 强调识别、优先排序和沟通安全结果，不规定所有组织都用同一具体控制。
2. 对每项资产写一条或多条风险链：威胁事件→可利用弱点→受影响数据/服务→业务或个人影响→现有控制→剩余缺口。NIST SP 800-30 以威胁、脆弱性、可能性、影响为评估要素，可帮助检查推理是否跳步。
3. 按严重性×证据强度排序，先写高风险且可行动的控制：预防、发现、响应各自解决哪一步；如果题面提供了已有控制，要评估其设计与运行证据，不能重复推荐同样措施。
4. 1.5 小时时间盒分三轮：先 5 项资产都建立最低限度条目，再深入最高风险 1–2 项，最后检查风险与控制一一对应、负责人、证据与残余风险。题面说可能做不完时，优先留下可解释的取舍与未完成清单。
5. 输出为可审计表：asset、scenario、assumption、impact、likelihood/evidence、inherent risk、existing control、proposed control、owner/due date、residual risk、validation。明确哪些是面试情境假设，不把分数当认证结论。

手动走一遍

虚构训练例资产 A 是内部数据处理服务：题面若表明它读取敏感数据但无调用审计，可识别‘被滥用后难以发现’的风险；推荐最小权限和不可篡改访问日志，说明如何通过抽样审计验证。若题面没有说该资产处理什么数据，只能先写条件假设并请求澄清，不能断言它违反某项认证。

规模与取舍

五资产、每项平均 r 条风险时，初次覆盖 O(5r) 条分析记录；限时瓶颈是证据收集、影响判断和控制取舍，不是计算。措施越昂贵，越要比较实施成本与风险降低幅度，并标示剩余不确定性。

易错点与追问

容易失分的边界

• 只列 SOC 2/ISO/PCI 名词，没把任何控制映射到五资产的实际风险。
• 没有资产信息仍写具体违规条款或业务影响。
• 每项平均花同样时间，导致高风险资产未深入且五项都没最低覆盖。
• 写一堆控制但无 owner、验证方法或残余风险。
• 把通用 NIST 参考说成面试原题给出的强制标准。

继续深挖

• 如果某高风险资产缺乏数据分类，能否先给有条件的控制建议？
• 现有控制设计完善但无运行证据，如何评分与补证？
• 五个资产共有同一身份系统时，怎样识别相关性而非逐项重复计风险？