Risk, kötü bir şeyin olma olasılığı ve bunun ne kadar zarar vereceğidir. Güvenlikte risk üç şeyi birleştirir: tehdit, güvenlik açığı ve etki. Fidye yazılımı saldırısı yapan bir grup tehdittir. Yama yapılmamış bir sunucu güvenlik açığıdır. Gelir kaybı ve kesinti ise etkidir. Bu üçünden herhangi birini ortadan kaldırırsanız risk ortadan kalkar. Sunucuyu yamalarsanız güvenlik açığı gider. Fidye yazılımı saldırısı yapan grubun altyapısını engellerseniz tehdit azalır. Kritik verileri çevrimdışı hale getirirseniz etki küçülür.

Risk ikili bir kavram değildir. Bir spektrumda yer alır. Bazı riskler kabul edilebilir. Küçük bir işletme, web sitesinin saldırıya uğraması riskini tolere edebilir. Ancak müşteri ödeme verilerinin kaybolması riskini tolere edemez. Aradaki fark etkidir. Risk değerlendirmesi bu farkı nicelendirir. Nelerin ters gidebileceğini, ne kadar olası olduğunu ve maliyetinin ne olacağını sorar. Ardından riskin maliyetini, onu azaltmanın maliyetiyle karşılaştırır. 10.000 dolarlık bir varlığı korumak için 100.000 dolar harcamak iyi bir risk yönetimi değildir. 1 milyon dolarlık bir varlığı korumak için 10.000 dolar harcamak ise iyidir. Matematik nadiren kesindir, ancak bu uygulama önceliklendirmeyi zorunlu kılar. Her risk ortadan kaldırılamaz. Amaç, hangilerinin en önemli olduğunu anlamaktır.

Risk bileşenleri

• Tehdit — kim veya ne zarar verebilir?
• Zafiyet — istismar edebilecekleri zayıflık
• Etki — başarılı olmaları durumunda oluşacak hasar
• Olasılık — bir şeyin gerçekleşme ihtimali

Risk, iş dünyasının dilidir. Risk dilini konuşan güvenlik ekipleri bütçe alır. Sadece tehditlerden bahsedenler ise alamaz.