En risikovurdering identificerer, hvad der kan gå galt, hvor sandsynligt det er, og hvad det ville koste. Den udarbejder en prioriteret liste over risici, så ressourcerne går derhen, hvor de betyder mest. Uden den er sikkerhedsudgifter gætteri. Med den har beslutninger en begrundelse. Et hospital kan rangere eksponering for patientdata som sin største risiko. En producent kan rangere produktionsnedetid højere. Rangeringen afhænger af virksomheden, ikke af en generisk tjekliste.

Processen starter med identifikation af aktiver. Hvad beskytter du? Kundedata, intellektuel ejendom, finansielle systemer, fysisk infrastruktur. Derefter trusselsmodellering. Hvem kan angribe disse aktiver, og hvordan? Derefter sårbarhedsanalyse. Hvilke svagheder findes? Endelig score for konsekvens og sandsynlighed. En kvalitativ vurdering bruger betegnelser som høj, mellem og lav. En kvantitativ vurdering tildeler dollarværdier og sandsynligheder. De fleste organisationer bruger en blanding. Kvalitativ er hurtigere og god nok til prioritering. Kvantitativ er mere forsvarlig, når man retfærdiggør budgettet. Vurderingen er ikke en engangsbegivenhed. Forretningen ændrer sig. Nye systemer dukker op. Gamle risici falmer. En risikovurdering, der er to år gammel, er et historisk dokument.

Trin i risikovurderingen

• Identificér aktiver og deres værdi
• Identificér trusler og trusselsaktører
• Identificer sårbarheder
• Vurder sandsynlighed og effekt
• Prioriter og dokumenter
• Gennemgå og opdater regelmæssigt

En risikovurdering, som ingen handler ud fra, er en akademisk øvelse. Værdien ligger i de beslutninger, den danner grundlag for.