Risikovurdering

I ISO-terminologien er risikovurdering (risk assessment) paraplybegrebet for tre deltrin: risikoidentifikation, risikoanalyse og risikoevaluering (ISO 31000:2018 punkt 6.4.2 til 6.4.4; ISO/IEC 27005:2022 punkt 7.2 til 7.4). Analysen fastlægger sandsynlighed og konsekvens og dermed risikoniveauet; evalueringen sammenholder niveauet med risikokriterierne for at afgøre, hvilke risici der skal håndteres, og i hvilken rækkefølge. I daglig tale bruges risikoanalyse og risikovurdering ofte i flæng om hele aktiviteten, ligesom "risk analysis" på engelsk, og det udvisker forskellen.

ISO/IEC 27001:2022 skelner mellem at fastlægge processen og at udføre den. Punkt 6.1.2 kræver en defineret vurderingsproces med kriterier for risikoaccept og for, hvornår der skal vurderes, som giver konsistente, gyldige og sammenlignelige resultater, identificerer risici for fortrolighed, integritet og tilgængelighed inden for omfanget, udpeger risikoejere og analyserer og evaluerer risiciene. Punkt 8.2 kræver derefter, at vurderingerne udføres med planlagte intervaller, eller når væsentlige ændringer foreslås eller sker, og at resultaterne opbevares som dokumenteret information. ISO/IEC 27005:2022 beskriver to tilgange til identifikation: en hændelsesbaseret, der tager udgangspunkt i risikokilder og strategiske scenarier, og en aktivbaseret, der gennemgår aktiver, trusler og sårbarheder i detaljer. Den erstattede også det ældre begreb hændelsesscenarie med risikoscenarie.

NIST SP 800-30 Rev. 1 opdeler vurderingen i forberedelse, gennemførelse, kommunikation og vedligeholdelse og placerer den på de tre niveauer fra SP 800-39: organisation, forretningsproces og informationssystem. Risikomodellen forbinder trusselskilder, trusselshændelser, sårbarheder og disponerende forhold, sandsynlighed og konsekvens, med eksempler på skalaer i bilag D til I. Metoden kan være kvalitativ, semikvantitativ eller kvantitativ; valget påvirker præcision og omkostning, men ikke den grundlæggende struktur.

Nabodisciplinerne har et andet genstandsfelt og resultat. En sårbarhedsvurdering lister konkrete tekniske svagheder, men vurderer ikke i sig selv forretningsrisikoen; trusselsmodellering analyserer et design for, hvad der kan gå galt, typisk under udviklingen; en BIA måler konsekvens over tid uden at se på sandsynlighed; og en konsekvensanalyse vedrørende databeskyttelse efter databeskyttelsesforordningens art. 35 vurderer risikoen for de registreredes rettigheder og frihedsrettigheder frem for risikoen for organisationen. En risikovurdering bruger alle fire som input. Typiske fejl er scoring uden aftalte kriterier, registre, der beskriver systemer i stedet for forretningskonsekvenser, og engangsvurderinger, der aldrig gentages, når omgivelserne ændrer sig.