O evaluare a riscurilor identifică ce ar putea merge prost, cât de probabil este să apară și cât ar costa. Aceasta produce o listă prioritizată de riscuri, astfel încât resursele să fie direcționate acolo unde contează cel mai mult. Fără aceasta, cheltuielile cu securitatea sunt o presupunere. Cu aceasta, deciziile au o justificare. Un spital ar putea clasifica expunerea datelor pacienților drept principalul risc. Un producător ar putea clasifica timpul de nefuncționare a producției ca fiind mai important. Clasamentul depinde de afacere, nu de o listă de verificare generică.

Procesul începe cu identificarea activelor. Ce protejați? Datele clienților, proprietatea intelectuală, sistemele financiare, infrastructura fizică. Apoi, modelarea amenințărilor. Cine ar putea ataca aceste active și cum? Apoi, analiza vulnerabilităților. Ce puncte slabe există? În cele din urmă, scorul de impact și probabilitate. O evaluare calitativă folosește etichete precum ridicat, mediu și scăzut. Una cantitativă atribuie valori monetare și probabilități. Majoritatea organizațiilor folosesc o combinație. Calitativa este mai rapidă și suficient de bună pentru prioritizare. Cantitativa este mai justificabilă atunci când se justifică bugetul. Evaluarea nu este un eveniment singular. Schimbări în afaceri. Apar sisteme noi. Riscurile vechi se estompează. O evaluare a riscurilor veche de doi ani este un document istoric.

Etapele evaluării riscurilor

• Identificați activele și valoarea acestora
• Identificați amenințările și actorii amenințători
• Identificați vulnerabilitățile
• Evaluați probabilitatea și impactul
• Prioritizează și documentează
• Revizuiți și actualizați periodic

O evaluare a riscurilor pe baza căreia nimeni nu acționează este un exercițiu academic. Valoarea constă în deciziile pe care le informează.