Penilaian risiko mengidentifikasi apa yang bisa salah, seberapa besar kemungkinannya, dan berapa biayanya. Penilaian ini menghasilkan daftar risiko yang diprioritaskan sehingga sumber daya dialokasikan ke tempat yang paling penting. Tanpa penilaian risiko, pengeluaran untuk keamanan hanya berdasarkan tebakan. Dengan penilaian risiko, keputusan memiliki dasar yang rasional. Sebuah rumah sakit mungkin menempatkan paparan data pasien sebagai risiko utama. Sebuah perusahaan manufaktur mungkin menempatkan waktu henti produksi sebagai risiko yang lebih tinggi. Peringkat tersebut bergantung pada bisnis, bukan pada daftar periksa umum.

Proses dimulai dengan identifikasi aset. Apa yang Anda lindungi? Data pelanggan, kekayaan intelektual, sistem keuangan, infrastruktur fisik. Kemudian pemodelan ancaman. Siapa yang mungkin menyerang aset-aset ini dan bagaimana caranya? Kemudian analisis kerentanan. Kelemahan apa yang ada? Terakhir, penilaian dampak dan kemungkinan. Penilaian kualitatif menggunakan label seperti tinggi, sedang, dan rendah. Penilaian kuantitatif menetapkan nilai dolar dan probabilitas. Sebagian besar organisasi menggunakan campuran keduanya. Penilaian kualitatif lebih cepat dan cukup baik untuk prioritas. Penilaian kuantitatif lebih dapat dipertanggungjawabkan ketika membenarkan anggaran. Penilaian ini bukanlah peristiwa sekali saja. Bisnis berubah. Sistem baru muncul. Risiko lama memudar. Penilaian risiko yang berusia dua tahun adalah dokumen historis.

Langkah-langkah penilaian risiko

• Mengidentifikasi aset dan nilainya
• Mengidentifikasi ancaman dan pelaku ancaman.
• Mengidentifikasi kerentanan
• Menilai kemungkinan dan dampaknya
• Prioritaskan dan dokumentasikan
• Tinjau dan perbarui secara berkala.

Penilaian risiko yang tidak ditindaklanjuti oleh siapa pun hanyalah latihan akademis. Nilainya terletak pada keputusan-keputusan yang dihasilkannya.