Uma avaliação de riscos identifica o que pode correr mal, qual a probabilidade de isso acontecer e qual seria o custo. Gera uma lista priorizada de riscos para que os recursos sejam direcionados para onde são mais necessários. Sem ela, o investimento em segurança é baseado em palpites. Com ela, as decisões têm uma justificação. Um hospital pode classificar a exposição de dados de doentes como o seu principal risco. Uma fábrica pode classificar o tempo de paragem da produção como mais importante. A classificação depende do negócio, não de uma lista de verificação genérica.

O processo inicia-se com a identificação dos ativos. O que está a proteger? Dados de clientes, propriedade intelectual, sistemas financeiros, infraestruturas físicas? Em seguida, vem a modelação de ameaças. Quem poderia atacar estes ativos e como? Depois, a análise de vulnerabilidades. Quais as fragilidades existentes? Por fim, a avaliação de impacto e probabilidade. Uma avaliação qualitativa utiliza rótulos como alto, médio e baixo. Uma avaliação quantitativa atribui valores monetários e probabilidades. A maioria das organizações utiliza uma combinação de ambas. A avaliação qualitativa é mais rápida e suficiente para a priorização. A avaliação quantitativa é mais defensável na justificação do orçamento. A avaliação não é um acontecimento isolado. Os negócios mudam. Novos sistemas surgem. Riscos antigos desaparecem. Uma avaliação de riscos aos dois anos de idade é um documento histórico.

Etapas de avaliação de risco

• Identificar os ativos e o seu valor
• Identificar ameaças e agentes de ameaças
• Identificar vulnerabilidades
• Avaliar a probabilidade e o impacto
• Priorize e documente
• Rever e atualizar regularmente

Uma avaliação de risco que ninguém utiliza é um exercício académico. O valor reside nas decisões que possibilita.