Risiko adalah kemungkinan terjadinya sesuatu yang buruk dan seberapa besar kerugian yang ditimbulkannya. Dalam keamanan, risiko menggabungkan tiga hal: ancaman, kerentanan, dan dampak. Kelompok ransomware adalah ancaman. Server yang belum diperbarui adalah kerentanan. Kerugian pendapatan dan waktu henti adalah dampaknya. Hilangkan salah satu dari ketiganya dan risiko akan hilang. Perbarui server dan kerentanan akan hilang. Blokir infrastruktur kelompok ransomware dan ancaman akan berkurang. Pindahkan data penting ke luar jaringan dan dampaknya akan menyusut.

Risiko bukanlah sesuatu yang biner. Risiko berada dalam sebuah spektrum. Beberapa risiko dapat diterima. Sebuah bisnis kecil mungkin mentolerir risiko perusakan situs web. Namun, mereka tidak dapat mentolerir risiko kehilangan data pembayaran pelanggan. Perbedaannya terletak pada dampaknya. Penilaian risiko mengukur perbedaan tersebut. Penilaian risiko mempertanyakan apa yang mungkin salah, seberapa besar kemungkinannya, dan berapa biayanya. Kemudian, penilaian risiko membandingkan biaya risiko dengan biaya mitigasinya. Mengeluarkan $100.000 untuk melindungi aset senilai $10.000 bukanlah manajemen risiko yang baik. Mengeluarkan $10.000 untuk melindungi aset senilai $1 juta adalah manajemen risiko yang baik. Perhitungannya jarang tepat, tetapi latihan ini memaksa penentuan prioritas. Tidak setiap risiko dapat dihilangkan. Tujuannya adalah untuk memahami risiko mana yang paling penting.

Komponen risiko

• Ancaman — siapa atau apa yang dapat menyebabkan bahaya
• Kerentanan — kelemahan yang dapat mereka manfaatkan.
• Dampak — kerusakan yang akan terjadi jika mereka berhasil
• Kemungkinan — probabilitas terjadinya

Risiko adalah bahasa bisnis. Tim keamanan yang menguasainya akan mendapatkan anggaran. Tim yang hanya berbicara tentang ancaman tidak akan mendapatkannya.