A kockázatértékelés azonosítja, hogy mi mehet rosszul, mekkora a valószínűsége, és mennyibe kerülne. Priorizált listát készít a kockázatokról, hogy az erőforrások oda jussanak, ahol a legfontosabbak. Enélkül a biztonsági kiadások csak találgatásokon alapulnak. Vele a döntéseknek van indokuk. Egy kórház a betegek adatainak kiszivárgását rangsorolhatja a legfőbb kockázatként. Egy gyártó a termelési leállást magasabbra sorolhatja. A rangsorolás az üzletágtól függ, nem egy általános ellenőrzőlistától.

A folyamat az eszközök azonosításával kezdődik. Mit véd? Ügyféladatokat, szellemi tulajdont, pénzügyi rendszereket, fizikai infrastruktúrát. Ezután következik a fenyegetésmodellezés. Ki támadhatja meg ezeket az eszközöket és hogyan? Ezután a sebezhetőségi elemzés következik. Milyen gyengeségek léteznek? Végül a hatás és a valószínűség pontozása. A kvalitatív értékelés olyan címkéket használ, mint a magas, közepes és alacsony. A kvantitatív értékelés pénzértékeket és valószínűségeket rendel hozzá. A legtöbb szervezet ezek keverékét használja. A kvalitatív gyorsabb és elég jó a priorizáláshoz. A kvantitatív jobban védhető a költségvetés igazolásakor. Az értékelés nem egyszeri esemény. Az üzleti élet változik. Új rendszerek jelennek meg. A régi kockázatok elhalványulnak. Egy kétéves kockázatértékelés egy történelmi dokumentum.

Kockázatértékelési lépések

• Azonosítsa az eszközöket és azok értékét
• A fenyegetések és a fenyegetés szereplőinek azonosítása
• A sebezhetőségek azonosítása
• Valószínűség és hatás értékelése
• Priorizálás és dokumentálás
• Rendszeres felülvizsgálat és frissítés

Egy olyan kockázatértékelés, amely alapján senki sem cselekszik, csupán elméleti feladat. Az értéke az általa megalapozott döntésekben rejlik.