A kockázat annak az esélye, hogy valami rossz történik, és hogy mennyire fáj. A biztonság területén a kockázat három dolgot egyesít magában: a fenyegetést, a sebezhetőséget és a hatást. A zsarolóvírus-csapat a fenyegetés. A javítatlan szerver a sebezhetőség. Az elmaradt bevétel és a leállás a hatás. Távolítson el bármelyiket a három közül, és a kockázat megszűnik. Javítsa meg a szervert, és a sebezhetőség megszűnik. Blokkolja a zsarolóvírus-csapat infrastruktúráját, és a fenyegetés csökken. Helyezze offline állapotba a kritikus adatokat, és a hatás csökken.

A kockázat nem bináris. Egy spektrumon létezik. Bizonyos kockázatok elfogadhatóak. Egy kisvállalkozás talán elviseli egy weboldal megrongálásának kockázatát. Nem tolerálja az ügyfelek fizetési adatainak elvesztésének kockázatát. A különbség a hatás. A kockázatértékelés számszerűsíti ezt a különbséget. Megkérdezi, hogy mi mehet rosszul, mennyire valószínű, és mennyibe kerülne. Ezután összehasonlítja a kockázat költségét a mérséklésének költségével. 100 000 dollárt költeni egy 10 000 dolláros eszköz védelmére nem jó kockázatkezelés. 10 000 dollárt költeni egy 1 millió dolláros eszköz védelmére az. A matematika ritkán pontos, de a gyakorlat kikényszeríti a priorizálást. Nem minden kockázatot lehet kiküszöbölni. A cél az, hogy megértsük, melyek a legfontosabbak.

Kockázati összetevők

• Fenyegetés – ki vagy mi okozhat kárt
• Sebezhetőség – a gyengeség, amelyet kihasználhatnak
• Hatás – a kár, ha sikerrel járnak
• Valószínűség – annak a valószínűsége, hogy valami megtörténik

A kockázat az üzleti élet nyelve. Azok a biztonsági csapatok, akik beszélik, költségvetést kapnak. Azok, akik csak a fenyegetésekről beszélnek, nem.