Risiko er chancen for, at noget dårligt sker, og hvor meget det gør ondt. Inden for sikkerhed kombinerer risiko tre ting: en trussel, en sårbarhed og en påvirkning. Et ransomware-hold er truslen. En ikke-patchet server er sårbarheden. Tabt omsætning og nedetid er påvirkningen. Fjern en af ​​de tre, og risikoen forsvinder. Patch serveren, og sårbarheden er væk. Bloker ransomware-holdets infrastruktur, og truslen reduceres. Flyt kritiske data offline, og påvirkningen mindskes.

Risiko er ikke binær. Den eksisterer på et spektrum. Nogle risici er acceptable. En lille virksomhed kan tolerere risikoen for, at et websted bliver beskadiget. Den kan ikke tolerere risikoen for at miste kundernes betalingsdata. Forskellen er effekten. Risikovurdering kvantificerer denne forskel. Den spørger, hvad der kan gå galt, hvor sandsynligt det er, og hvad det ville koste. Derefter sammenligner den omkostningerne ved risikoen med omkostningerne ved at afbøde den. At bruge 100.000 dollars på at beskytte et aktiv til 10.000 dollars er ikke god risikostyring. At bruge 10.000 dollars på at beskytte et aktiv til 1 million dollars er. Matematikken er sjældent præcis, men øvelsen tvinger prioritering frem. Ikke alle risici kan elimineres. Målet er at forstå, hvilke der betyder mest.

Risikokomponenter

• Trussel – hvem eller hvad der kan forårsage skade
• Sårbarhed — den svaghed, de kunne udnytte
• Indvirkning — skaden, hvis de lykkes
• Sandsynlighed - sandsynligheden for at det sker

Risiko er forretningssproget. Sikkerhedsteams, der taler det, får budgetter. Dem, der kun taler om trusler, får ikke.