风险评估可以识别可能出现的问题、发生的可能性以及造成的损失。它会生成一份风险优先级列表，以便将资源投入到最关键的领域。没有风险评估，安全支出就只能靠猜测。有了风险评估，决策就有了依据。例如，医院可能会将患者数据泄露列为首要风险，而制造商则可能将生产停机列为更重要的风险。风险优先级取决于具体业务，而不是通用的检查清单。

流程始于资产识别。您要保护的是什么？客户数据、知识产权、财务系统、物理基础设施。接下来是威胁建模。谁可能攻击这些资产？攻击方式是什么？然后是漏洞分析。存在哪些弱点？最后是影响和可能性评分。定性评估使用“高”、“中”、“低”等标签。定量评估则赋予风险以金额和概率。大多数组织会结合使用这两种方法。定性评估速度更快，足以用于优先级排序。定量评估在预算论证方面更具说服力。风险评估并非一次性事件。业务会发生变化。新系统会出现。旧风险会逐渐消失。两年前的风险评估报告已成为历史文件。

风险评估步骤

• 识别资产及其价值
• 识别威胁和威胁行为者
• 识别漏洞
• 评估可能性和影响
• 确定优先级并记录
• 定期审核和更新

如果风险评估无人采纳，那它就只是纸上谈兵。它的价值在于它能为决策提供依据。