Risk är chansen att något dåligt händer och hur mycket det skadar. Inom säkerhet kombinerar risk tre saker: ett hot, en sårbarhet och en påverkan. Ett ransomware-team är hotet. En server som inte har uppdaterats är sårbarheten. Förlorade intäkter och driftstopp är påverkan. Ta bort någon av de tre så försvinner risken. Updatera servern så är sårbarheten borta. Blockera ransomware-teamets infrastruktur så minskar hotet. Flytta kritisk data offline så minskar påverkan.

Risk är inte binär. Den existerar inom ett spektrum. Vissa risker är acceptabla. Ett litet företag kan tolerera risken för att en webbplats ska skadas. Det kan inte tolerera risken att förlora kunders betalningsdata. Skillnaden är effekten. Riskbedömning kvantifierar den skillnaden. Den frågar vad som kan gå fel, hur troligt det är och vad det skulle kosta. Sedan jämför den kostnaden för risken med kostnaden för att mildra den. Att spendera 100 000 dollar för att skydda en tillgång värd 10 000 dollar är inte bra riskhantering. Att spendera 10 000 dollar för att skydda en tillgång värd 1 miljon dollar är det. Matematiken är sällan exakt, men övningen tvingar fram prioriteringar. Alla risker kan inte elimineras. Målet är att förstå vilka som är mest betydelsefulla.

Riskkomponenter

• Hot – vem eller vad som kan orsaka skada
• Sårbarhet — den svaghet de kunde utnyttja
• Påverkan — skadan om de lyckas
• Sannolikhet – sannolikheten att det händer

Risk är affärsspråket. Säkerhetsteam som talar risk får budgetar. De som bara pratar om hot får det inte.