Hallo!
Dem Anbilick nach funktioniert alles “wie es soll”. Die Rechnung ist folgendermaßen zu lesen:
Der Client geht mit einem Grundwert an Schutzbedarf (vermutlich hier Vertr.=3, Integr.=2 aber unbetrachtet, Verfüg.=4 - alles vererbt vom Prozess(?) “Erbringung der mdex …”) in die Rechnung ein (kann im Verinice bei der Verknüpfung betrachtet werden).
Auf diese Werte wird der Wert der “Wahrscheinlichkeit” (=6) des Szenarios (“Angriff auf …”) aufaddiert und es erscheinen die Rohwerte ohne jegliche Behandlung. Da diese als 9,0,10 angezeigt werden, vermute ich, dass dein Szenario die Integrität nicht betrifft - dann wird der Wert genullt.
Ein Control, das mit einem Szenario verbunden wird, geht nur mit seinem Feld “Reduktion der Eintrittswahrscheinlichkeit” (hier Wert/“Effektivität”=2) ein und es kann a) nur abgezogen werden, wenn das Control implementiert ist (ja) und b) es kann in der Summe nicht mehr abgezogen werden, als das Szenario mitbringt (weil ja nur dessen Wahrscheinlichkeit reduziert wird).
Der Finale Vektor für das Asset im Bezug auf dieses Szenario wird also berechnet (für C,I,A) durch Asset(3,0,4) + (Szen(6,6,6) - Control(2,2,2)) = “Risiko”(7,0,8).
Zur weiteren Reduktion kannst du nun a) Controls finden, die die Wahrscheinlichkeit des Szenarios beeinflussen und sie mit diesem verbinden, oder b) Controls finden, die die Schutzparameter (Vertr., Integr., Verfüg.) direkt positiv unterstützen (Verschlüsselung unterstützt ggf. die Vertraulichkeit, Hardwar-Cluster/-Spiegelungen die Verfügbarkeit) und diese Controls mit dem Asset verknüpfen.
Genereller also:
Schutzbedarfswerte + (Szenariowert - Summe(ControlsAmSzenario)) - Summe(ControlsAmAsset/Prozess) = Endrisiko.
Für weitere Ausführungen gern noch einmal nachfragen - die Rechnung ist eigentlich recht interessant! 
Achtung Bug: Wenn du zyklische Abhängigkeiten/Verknüpfungen geschaffen hast (A hängt ab von B hängt ab von C hängt ab von A) dann kann die Berechnung etwas anderes ergeben als erwartet und es stehen ‘falsche’ Werte im Report. Manchmal hilft hier öfters die Risikoanalyse durchführen, noch besser den Haken zum Leeren des Caches vor Erstellung des Reportes (im Reportdialog) anwählen aber noch besser ist, Kreise zu vermeiden und sie anders zu modellieren!
// Edit: Ich kann aus dem Auszug nicht erkennen, ob das Szenario mit einem Asset oder mit dem Prozess verbunden ist. Es gilt jedoch dieselbe Rechnung (ggf. nur mit Prozess statt Asset). Zum Reduzieren der Werte am Prozess selbst, müssen Controls mit Werten für Vertr./Integr./Verfügb. mit dem Prozess verbunden werden und implementiert sein.
