Риск — это вероятность того, что произойдет что-то плохое, и насколько это может навредить. В сфере безопасности риск объединяет три составляющие: угрозу, уязвимость и последствия. Группа вымогателей — это угроза. Необновленный сервер — это уязвимость. Потеря дохода и простой — это последствия. Устраните любой из этих трех факторов, и риск исчезнет. Обновите сервер, и уязвимость исчезнет. Заблокируйте инфраструктуру группы вымогателей, и угроза уменьшится. Переместите критически важные данные в автономный режим, и последствия снизятся.

Риск не является бинарным понятием. Он существует в спектре. Некоторые риски приемлемы. Малый бизнес может смириться с риском взлома веб-сайта. Он не может смириться с риском потери данных о платежах клиентов. Разница заключается в последствиях. Оценка рисков количественно определяет эту разницу. Она задает вопросы о том, что может пойти не так, насколько это вероятно и во сколько это обойдется. Затем она сравнивает стоимость риска со стоимостью его смягчения. Потратить 100 000 долларов на защиту актива стоимостью 10 000 долларов — это неэффективное управление рисками. Потратить 10 000 долларов на защиту актива стоимостью 1 миллион долларов — это эффективно. Расчеты редко бывают точными, но этот процесс заставляет расставлять приоритеты. Не каждый риск можно устранить. Цель состоит в том, чтобы понять, какие из них наиболее важны.

Компоненты риска

• Угроза — кто или что может причинить вред.
• Уязвимость — слабость, которую они могут использовать.
• Последствия — ущерб, если им это удастся.
• Вероятность — вероятность того, что это произойдёт.

Риск — это язык бизнеса. Команды безопасности, которые говорят на этом языке, получают бюджеты. Те, которые говорят только об угрозах, — нет.