Ocena ryzyka identyfikuje potencjalne problemy, ich prawdopodobieństwo i koszty. Tworzy ona listę priorytetowych zagrożeń, dzięki czemu zasoby trafiają tam, gdzie są najbardziej potrzebne. Bez niej wydatki na bezpieczeństwo są jedynie domysłami. Dzięki niej decyzje mają uzasadnienie. Szpital może uznać ujawnienie danych pacjentów za najwyższe ryzyko. Producent może uznać przestoje w produkcji za wyższe. Pozycja zależy od firmy, a nie od ogólnej listy kontrolnej.

Proces rozpoczyna się od identyfikacji zasobów. Co chronisz? Dane klientów, własność intelektualną, systemy finansowe, infrastrukturę fizyczną. Następnie modelowanie zagrożeń. Kto i w jaki sposób może zaatakować te zasoby? Następnie analiza podatności. Jakie istnieją słabości? Na koniec ocena wpływu i prawdopodobieństwa. Ocena jakościowa wykorzystuje takie etykiety, jak wysoki, średni i niski. Ocena ilościowa przypisuje wartości w dolarach i prawdopodobieństwa. Większość organizacji stosuje mieszankę. Ocena jakościowa jest szybsza i wystarczająca do ustalenia priorytetów. Ocena ilościowa jest bardziej uzasadniona przy uzasadnianiu budżetu. Ocena nie jest wydarzeniem jednorazowym. Biznes się zmienia. Pojawiają się nowe systemy. Stare ryzyka zanikają. Ocena ryzyka sprzed dwóch lat jest dokumentem historycznym.

Etapy oceny ryzyka

• Identyfikacja aktywów i ich wartości
• Identyfikuj zagrożenia i sprawców zagrożeń
• Zidentyfikuj luki w zabezpieczeniach
• Oceń prawdopodobieństwo i wpływ
• Ustal priorytety i udokumentuj
• Regularnie przeglądaj i aktualizuj

Ocena ryzyka, na którą nikt nie reaguje, to ćwiczenie akademickie. Wartość tkwi w decyzjach, które ona przekazuje.