يُحدد تقييم المخاطر ما قد يحدث من أخطاء، ومدى احتمالية حدوثها، وتكلفتها. ويُنتج قائمة مُرتبة حسب الأولوية للمخاطر، بحيث تُوجّه الموارد إلى حيث تشتد الحاجة إليها. وبدونه، يصبح الإنفاق على الأمن مجرد تخمين. أما بوجوده، فتُصبح القرارات مبنية على أسس منطقية. فقد يُصنّف مستشفى ما تسريب بيانات المرضى كأهم المخاطر، بينما قد يُصنّف مصنع ما توقف الإنتاج في مرتبة أعلى. ويعتمد هذا التصنيف على طبيعة العمل، وليس على قائمة مرجعية عامة.

تبدأ العملية بتحديد الأصول. ما الذي تحميه؟ بيانات العملاء، الملكية الفكرية، الأنظمة المالية، البنية التحتية المادية. ثم نمذجة التهديدات. من قد يهاجم هذه الأصول وكيف؟ ثم تحليل الثغرات الأمنية. ما هي نقاط الضعف الموجودة؟ وأخيرًا، تقييم الأثر واحتمالية حدوثه. يستخدم التقييم النوعي تصنيفات مثل مرتفع، متوسط، ومنخفض. أما التقييم الكمي فيحدد قيمًا مالية واحتمالات. تستخدم معظم المؤسسات مزيجًا من النوعين. النوعي أسرع وكافٍ لتحديد الأولويات. أما الكمي فهو أكثر قابلية للدفاع عند تبرير الميزانية. التقييم ليس حدثًا لمرة واحدة. تتغير الأعمال. تظهر أنظمة جديدة. تتلاشى المخاطر القديمة. تقييم المخاطر الذي مضى عليه سنتان هو وثيقة تاريخية.

خطوات تقييم المخاطر

• تحديد الأصول وقيمتها
• تحديد التهديدات والجهات الفاعلة التي تُهددها
• تحديد نقاط الضعف
• تقييم الاحتمالية والتأثير
• تحديد الأولويات وتوثيقها
• قم بالمراجعة والتحديث بانتظام

إن تقييم المخاطر الذي لا يُتخذ أي إجراء بشأنه هو مجرد تمرين نظري. تكمن قيمته في القرارات التي يستند إليها.