Posouzení rizik identifikuje, co by se mohlo pokazit, jak je to pravděpodobné a kolik by to stálo. Vytváří seznam rizik seřazený podle priorit, aby zdroje směřovaly tam, kde jsou nejdůležitější. Bez něj jsou výdaje na bezpečnost jen dohady. S ním mají rozhodnutí opodstatnění. Nemocnice by mohla zařadit vystavení dat pacientů jako své nejvyšší riziko. Výrobce by mohl prostoje ve výrobě hodnotit výše. Pořadí závisí na podnikání, nikoli na obecném kontrolním seznamu.

Proces začíná identifikací aktiv. Co chráníte? Zákaznická data, duševní vlastnictví, finanční systémy, fyzickou infrastrukturu. Poté modelování hrozeb. Kdo by mohl tato aktiva zaútočit a jak? Pak analýza zranitelností. Jaké existují slabiny? Nakonec hodnocení dopadu a pravděpodobnosti. Kvalitativní hodnocení používá označení jako vysoké, střední a nízké. Kvantitativní hodnocení přiřazuje peněžní hodnoty a pravděpodobnosti. Většina organizací používá kombinaci. Kvalitativní hodnocení je rychlejší a dostatečně dobré pro stanovení priorit. Kvantitativní je obhajitelnější při odůvodňování rozpočtu. Hodnocení není jednorázovou událostí. Obchodní činnost se mění. Objevují se nové systémy. Stará rizika mizí. Hodnocení rizik, které je staré dva roky, je historický dokument.

Kroky posouzení rizik

• Identifikujte aktiva a jejich hodnotu
• Identifikujte hrozby a aktéry hrozeb
• Identifikace zranitelností
• Posouzení pravděpodobnosti a dopadu
• Stanovení priorit a dokumentace
• Pravidelně kontrolujte a aktualizujte

Posouzení rizik, na základě kterého nikdo nereaguje, je akademické cvičení. Jeho hodnota spočívá v rozhodnutích, která informuje.