Een risicoanalyse brengt in kaart wat er mis kan gaan, hoe waarschijnlijk dat is en wat de kosten daarvan zijn. Het levert een prioriteitslijst van risico's op, zodat middelen worden ingezet waar ze het meest nodig zijn. Zonder een risicoanalyse is budgetteren voor beveiliging puur giswerk. Met een risicoanalyse zijn beslissingen onderbouwd. Een ziekenhuis zou bijvoorbeeld de blootstelling van patiëntgegevens als het grootste risico kunnen beschouwen. Een fabrikant zou productiestilstand wellicht hoger inschatten. De prioriteit hangt af van de specifieke bedrijfsactiviteiten, niet van een algemene checklist.

Het proces begint met het identificeren van de activa. Wat wilt u beschermen? Klantgegevens, intellectueel eigendom, financiële systemen, fysieke infrastructuur? Vervolgens komt de dreigingsanalyse. Wie zou deze activa kunnen aanvallen en hoe? Daarna volgt de kwetsbaarheidsanalyse. Welke zwakke punten bestaan ​​er? Tot slot de impact- en waarschijnlijkheidsscore. Een kwalitatieve beoordeling gebruikt labels zoals hoog, gemiddeld en laag. Een kwantitatieve beoordeling kent bedragen en waarschijnlijkheden toe. De meeste organisaties gebruiken een combinatie. Kwalitatief is sneller en voldoende voor prioritering. Kwantitatief is beter te verdedigen bij het rechtvaardigen van budgetten. De beoordeling is geen eenmalige gebeurtenis. De bedrijfsvoering verandert. Nieuwe systemen verschijnen. Oude risico's verdwijnen. Een risicobeoordeling van twee jaar oud is een historisch document.

Stappen voor risicobeoordeling

• Identificeer activa en hun waarde.
• Identificeer bedreigingen en bedreigingsactoren.
• Identificeer kwetsbaarheden
• Beoordeel de waarschijnlijkheid en de impact.
• Prioriteer en documenteer
• Controleer en update regelmatig.

Een risicoanalyse waar niemand iets mee doet, is een theoretische oefening. De waarde zit hem in de beslissingen die erdoor worden onderbouwd.