Risico is de kans dat er iets ergs gebeurt en hoeveel schade dat aanricht. In de beveiliging combineert risico drie elementen: een dreiging, een kwetsbaarheid en de impact. Een ransomwaregroep is de dreiging. Een server zonder patches is de kwetsbaarheid. Verlies aan inkomsten en downtime zijn de impact. Verwijder één van deze drie elementen en het risico verdwijnt. Patch de server en de kwetsbaarheid is weg. Blokkeer de infrastructuur van de ransomwaregroep en de dreiging wordt verminderd. Verplaats kritieke data offline en de impact neemt af.

Risico is niet binair. Het bestaat op een spectrum. Sommige risico's zijn acceptabel. Een klein bedrijf kan het risico van een website-aanval tolereren. Het risico van verlies van klantbetaalgegevens kan het echter niet tolereren. Het verschil zit hem in de impact. Risicobeoordeling kwantificeert dat verschil. Het stelt de vraag wat er mis kan gaan, hoe waarschijnlijk dat is en wat het zou kosten. Vervolgens vergelijkt het de kosten van het risico met de kosten van risicobeperking. 100.000 dollar uitgeven om een ​​bezit van 10.000 dollar te beschermen is geen goed risicomanagement. 10.000 dollar uitgeven om een ​​bezit van 1 miljoen dollar te beschermen is dat wel. De berekening is zelden exact, maar de oefening dwingt tot prioriteren. Niet elk risico kan worden geëlimineerd. Het doel is om te begrijpen welke risico's het belangrijkst zijn.

Risicocomponenten

• Dreiging — wie of wat zou schade kunnen veroorzaken?
• Kwetsbaarheid — de zwakke plek die ze zouden kunnen uitbuiten
• Impact — de schade als ze slagen
• Waarschijnlijkheid — de kans dat het gebeurt

Risico is de taal van het bedrijfsleven. Beveiligingsteams die die taal spreken, krijgen budgetten. Teams die alleen over bedreigingen praten, krijgen die niet.