Risiko vs. Trussel

Hvorfor de er forskellige

En trussel er det, der kan ske; risiko vejer også, hvor sandsynligt det er, og hvor ondt det vil gøre.

Grundbegreber

Sandsynligheden for, at en trussel udnytter en sårbarhed, sammenholdt med hvor slem konsekvensen vil være.

Formelt

Et mål for mulig skade, der kombinerer sandsynligheden for, at en trussel udnytter en sårbarhed, med konsekvensen for organisationen, hvis det sker. Når en risiko er vurderet, bliver den håndteret - mindsket, overført, undgået eller accepteret.

Forklaret enkelt

Som når du overvejer at forsikre din cykel - du vejer, hvor tit cykler bliver stjålet i dit område, op mod hvad en ny koster.

I praksis

IT-sikkerhedsteamet i en kommune vurderer “ransomware på filserveren” som sandsynlig og alvorlig, så den havner i det røde hjørne af heat-mappet og får budget først.

Hvorfor det betyder noget

Penge og tid er begrænsede; tænker man i risiko, kan organisationen bruge dem dér, hvor det virkelig kan gøre ondt - ikke dér, hvor det lyder mest skræmmende.

Trussel

Grundbegreber

Alt, der kan skade organisationen - en angriber, en skødesløs fejl, en brand eller et strømsvigt.

Formelt

Enhver person, hændelse eller ethvert forhold, der kan forvolde skade på information eller systemer ved at ramme deres fortrolighed, integritet eller tilgængelighed. En trussel gør først skade, når den møder en svaghed, den kan udnytte.

Forklaret enkelt

Som en indbrudstyv i kvarteret eller en storm i vejrudsigten - den har ikke ramt dig endnu, men den kunne.

I praksis

Et rederi opstiller sine trusler - kriminelle grupper, der sender phishingmails, fejl begået af medarbejdere, en leverandørs fjernadgang og oversvømmelse af serverrummet i kælderen.

Hvorfor det betyder noget

Man kan ikke beskytte sig mod det, man ikke har sat navn på; kender man truslerne, ved man, hvad man skal forberede sig på, og hvad man kan se bort fra.

Fælles forbindelser

Sandsynlighed Risikoidentifikation Risikostyring Sårbarhed