En riskbedömning identifierar vad som kan gå fel, hur troligt det är och vad det skulle kosta. Den tar fram en prioriterad lista över risker så att resurserna går dit de betyder mest. Utan den är säkerhetsutgifter gissningar. Med den har beslut en motivering. Ett sjukhus kan ranka exponering för patientdata som sin största risk. En tillverkare kan ranka produktionsstopp högre. Rankningen beror på verksamheten, inte på en generisk checklista.

Processen börjar med identifiering av tillgångar. Vad skyddar du? Kunddata, immateriella rättigheter, finansiella system, fysisk infrastruktur. Sedan hotmodellering. Vem kan attackera dessa tillgångar och hur? Sedan sårbarhetsanalys. Vilka svagheter finns? Slutligen, konsekvens- och sannolikhetsbedömning. En kvalitativ bedömning använder etiketter som hög, medel och låg. En kvantitativ tilldelar dollarvärden och sannolikheter. De flesta organisationer använder en blandning. Kvalitativ är snabbare och tillräckligt bra för prioritering. Kvantitativ är mer försvarbar när man motiverar budget. Bedömningen är inte en engångshändelse. Verksamheten förändras. Nya system dyker upp. Gamla risker bleknar. En riskbedömning som är två år gammal är ett historiskt dokument.

Steg för riskbedömning

• Identifiera tillgångar och deras värde
• Identifiera hot och hotaktörer
• Identifiera sårbarheter
• Bedöm sannolikhet och påverkan
• Prioritera och dokumentera
• Granska och uppdatera regelbundet

En riskbedömning som ingen agerar utifrån är en akademisk övning. Värdet ligger i de beslut den underbygger.