Risk değerlendirmesi, nelerin ters gidebileceğini, ne kadar olası olduğunu ve maliyetinin ne olacağını belirler. Kaynakların en önemli yerlere yönlendirilmesi için önceliklendirilmiş bir risk listesi oluşturur. Risk değerlendirmesi olmadan, güvenlik harcamaları tahmine dayalıdır. Risk değerlendirmesiyle ise kararların bir mantığı olur. Bir hastane, hasta verilerinin ifşa edilmesini en büyük risk olarak sıralayabilir. Bir üretici, üretim duraksamasını daha yüksek bir risk olarak sıralayabilir. Sıralama, genel bir kontrol listesine değil, işletmeye bağlıdır.

Süreç, varlık tanımlamasıyla başlar. Neyi koruyorsunuz? Müşteri verileri, fikri mülkiyet, finansal sistemler, fiziksel altyapı. Ardından tehdit modellemesi. Bu varlıklara kimler ve nasıl saldırabilir? Sonra güvenlik açığı analizi. Hangi zayıf noktalar mevcut? Son olarak, etki ve olasılık puanlaması. Niteliksel değerlendirme, yüksek, orta ve düşük gibi etiketler kullanır. Niceliksel değerlendirme ise dolar değerleri ve olasılıklar atar. Çoğu kuruluş bir karışım kullanır. Niteliksel değerlendirme daha hızlıdır ve önceliklendirme için yeterlidir. Niceliksel değerlendirme ise bütçeyi gerekçelendirirken daha savunulabilirdir. Değerlendirme tek seferlik bir olay değildir. İşletmeler değişir. Yeni sistemler ortaya çıkar. Eski riskler kaybolur. İki yıllık bir risk değerlendirmesi tarihsel bir belgedir.

Risk değerlendirme adımları

• Varlıkları ve değerlerini belirleyin.
• Tehditleri ve tehdit unsurlarını belirleyin.
• Güvenlik açıklarını belirleyin
• Olasılığı ve etkiyi değerlendirin.
• Önceliklendirin ve belgeleyin
• Düzenli olarak gözden geçirin ve güncelleyin.

Üzerinden kimsenin harekete geçmediği bir risk değerlendirmesi, akademik bir çalışmadan ibarettir. Değeri, bilgilendirdiği kararlardadır.