Ο κίνδυνος είναι η πιθανότητα να συμβεί κάτι κακό και το πόσο επιζήμιο είναι. Στην ασφάλεια, ο κίνδυνος συνδυάζει τρία πράγματα: μια απειλή, μια ευπάθεια και μια επίπτωση. Μια ομάδα ransomware είναι η απειλή. Ένας διακομιστής που δεν έχει ενημερωθεί πλήρως είναι η ευπάθεια. Η απώλεια εσόδων και ο χρόνος διακοπής λειτουργίας είναι η επίπτωση. Αφαιρέστε οποιοδήποτε από τα τρία και ο κίνδυνος εξαφανίζεται. Ενημερώστε τον διακομιστή και η ευπάθεια εξαφανίζεται. Αποκλείστε την υποδομή της ομάδας ransomware και η απειλή μειώνεται. Μετακινήστε κρίσιμα δεδομένα εκτός σύνδεσης και η επίπτωση συρρικνώνεται.

Ο κίνδυνος δεν είναι δυαδικός. Υπάρχει σε ένα φάσμα. Ορισμένοι κίνδυνοι είναι αποδεκτοί. Μια μικρή επιχείρηση μπορεί να ανεχθεί τον κίνδυνο παραμόρφωσης ενός ιστότοπου. Δεν μπορεί να ανεχθεί τον κίνδυνο απώλειας δεδομένων πληρωμών πελατών. Η διαφορά είναι ο αντίκτυπος. Η αξιολόγηση κινδύνου ποσοτικοποιεί αυτή τη διαφορά. Ρωτάει τι θα μπορούσε να πάει στραβά, πόσο πιθανό είναι και πόσο θα κόστιζε. Στη συνέχεια, συγκρίνει το κόστος του κινδύνου με το κόστος μετριασμού του. Η δαπάνη 100.000 δολαρίων για την προστασία ενός περιουσιακού στοιχείου αξίας 10.000 δολαρίων δεν αποτελεί καλή διαχείριση κινδύνου. Η δαπάνη 10.000 δολαρίων για την προστασία ενός περιουσιακού στοιχείου αξίας 1 εκατομμυρίου δολαρίων είναι. Οι μαθηματικοί υπολογισμοί σπάνια είναι ακριβείς, αλλά η άσκηση επιβάλλει την ιεράρχηση προτεραιοτήτων. Δεν μπορούν να εξαλειφθούν όλοι οι κίνδυνοι. Ο στόχος είναι να κατανοήσουμε ποιοι είναι οι πιο σημαντικοί.

Στοιχεία κινδύνου

• Απειλή — ποιος ή τι θα μπορούσε να προκαλέσει βλάβη
• Ευπάθεια — η αδυναμία που θα μπορούσαν να εκμεταλλευτούν
• Επιπτώσεις — η ζημιά σε περίπτωση επιτυχίας
• Πιθανότητα — η πιθανότητα να συμβεί

Το ρίσκο είναι η γλώσσα των επιχειρήσεων. Οι ομάδες ασφαλείας που το μιλούν έχουν προϋπολογισμούς. Όσες μιλούν μόνο για απειλές δεν έχουν.