Μια αξιολόγηση κινδύνου προσδιορίζει τι θα μπορούσε να πάει στραβά, πόσο πιθανό είναι και πόσο θα κοστίσει. Παράγει μια λίστα κινδύνων με προτεραιότητες, έτσι ώστε οι πόροι να πηγαίνουν εκεί που έχουν μεγαλύτερη σημασία. Χωρίς αυτήν, οι δαπάνες για την ασφάλεια είναι απλώς εικασίες. Με αυτήν, οι αποφάσεις έχουν μια λογική. Ένα νοσοκομείο μπορεί να κατατάξει την έκθεση σε δεδομένα ασθενών ως τον κορυφαίο κίνδυνο. Ένας κατασκευαστής μπορεί να κατατάξει τον χρόνο διακοπής της παραγωγής υψηλότερα. Η κατάταξη εξαρτάται από την επιχείρηση, όχι από μια γενική λίστα ελέγχου.

Η διαδικασία ξεκινά με την αναγνώριση περιουσιακών στοιχείων. Τι προστατεύετε; Δεδομένα πελατών, πνευματική ιδιοκτησία, χρηματοοικονομικά συστήματα, υλική υποδομή. Στη συνέχεια, μοντελοποίηση απειλών. Ποιος μπορεί να επιτεθεί σε αυτά τα περιουσιακά στοιχεία και πώς; Στη συνέχεια, ανάλυση ευπάθειας. Ποιες αδυναμίες υπάρχουν; Τέλος, βαθμολόγηση επιπτώσεων και πιθανοφάνειας. Μια ποιοτική αξιολόγηση χρησιμοποιεί ετικέτες όπως υψηλή, μεσαία και χαμηλή. Μια ποσοτική αποδίδει τιμές σε δολάρια και πιθανότητες. Οι περισσότεροι οργανισμοί χρησιμοποιούν ένα μείγμα. Η ποιοτική είναι ταχύτερη και αρκετά καλή για ιεράρχηση προτεραιοτήτων. Η ποσοτική είναι πιο υπερασπίσιμη κατά την αιτιολόγηση του προϋπολογισμού. Η αξιολόγηση δεν είναι ένα μεμονωμένο γεγονός. Οι επιχειρήσεις αλλάζουν. Νέα συστήματα εμφανίζονται. Παλιοί κίνδυνοι εξασθενούν. Μια αξιολόγηση κινδύνου που είναι δύο ετών είναι ένα ιστορικό έγγραφο.

Βήματα αξιολόγησης κινδύνου

• Προσδιορίστε τα περιουσιακά στοιχεία και την αξία τους
• Προσδιορίστε τις απειλές και τους παράγοντες απειλής
• Εντοπίστε τα τρωτά σημεία
• Αξιολόγηση πιθανότητας και αντίκτυπου
• Προτεραιότητα και τεκμηρίωση
• Ελέγχετε και ενημερώνετε τακτικά

Μια εκτίμηση κινδύνου στην οποία κανείς δεν αναλαμβάνει δράση είναι μια ακαδημαϊκή άσκηση. Η αξία έγκειται στις αποφάσεις που λαμβάνονται υπόψη.