En risikovurdering identifiserer hva som kan gå galt, hvor sannsynlig det er og hva det vil koste. Den produserer en prioritert liste over risikoer, slik at ressursene går dit de betyr mest. Uten den er sikkerhetsutgifter gjetting. Med den har beslutninger en begrunnelse. Et sykehus kan rangere eksponering for pasientdata som sin største risiko. En produsent kan rangere produksjonsnedetid høyere. Rangeringen avhenger av virksomheten, ikke av en generell sjekkliste.

Prosessen starter med identifisering av eiendeler. Hva beskytter du? Kundedata, immaterielle rettigheter, finansielle systemer, fysisk infrastruktur. Deretter trusselmodellering. Hvem kan angripe disse eiendelene, og hvordan? Deretter sårbarhetsanalyse. Hvilke svakheter finnes? Til slutt, konsekvens- og sannsynlighetsscoring. En kvalitativ vurdering bruker etiketter som høy, middels og lav. En kvantitativ vurdering tilordner dollarverdier og sannsynligheter. De fleste organisasjoner bruker en blanding. Kvalitativ er raskere og god nok for prioritering. Kvantitativ er mer forsvarlig når man begrunner budsjettet. Vurderingen er ikke en engangshendelse. Virksomheten endrer seg. Nye systemer dukker opp. Gamle risikoer forsvinner. En risikovurdering som er to år gammel er et historisk dokument.

Trinn for risikovurdering

• Identifiser eiendeler og deres verdi
• Identifiser trusler og trusselaktører
• Identifiser sårbarheter
• Vurder sannsynlighet og påvirkning
• Prioriter og dokumenter
• Gjennomgå og oppdater regelmessig

En risikovurdering som ingen handler ut fra er en akademisk øvelse. Verdien ligger i beslutningene den gir grunnlag for.