リスク評価は、何が起こりうるか、その可能性はどの程度か、そしてどれくらいの費用がかかるかを特定します。リスクの優先順位リストを作成することで、リソースを最も重要な場所に投入できます。リスク評価がなければ、セキュリティへの支出は当て推量に過ぎません。リスク評価があれば、意思決定に根拠が生まれます。病院では、患者データの漏洩が最重要リスクとされるかもしれません。製造業では、生産停止の方がリスクが高いかもしれません。リスクの優先順位は、一般的なチェックリストではなく、事業内容によって異なります。

プロセスは資産の特定から始まります。何を保護しますか? 顧客データ、知的財産、金融システム、物理インフラストラクチャ。次に脅威モデリング。誰がこれらの資産を攻撃する可能性があり、どのように攻撃する可能性があるか? 次に脆弱性分析。どのような弱点が存在するか? 最後に影響と可能性のスコアリング。定性評価では、高、中、低などのラベルを使用します。定量評価では、ドル値と確率を割り当てます。ほとんどの組織は両方を組み合わせて使用​​します。定性評価は迅速で、優先順位付けには十分です。定量評価は、予算を正当化する際に、より説得力があります。評価は一度きりのイベントではありません。ビジネスは変化します。新しいシステムが登場します。古いリスクは消えていきます。2年前のリスク評価は、歴史的な文書です。

リスク評価の手順

• 資産とその価値を特定する
• 脅威と脅威主体を特定する
• 脆弱性を特定する
• 可能性と影響を評価する
• 優先順位を付けて文書化する
• 定期的に見直しと更新を行う

誰も行動に移さないリスク評価は、単なる学術的な演習に過ぎない。真価は、その評価結果に基づいて下される意思決定にある。