Risikoundgåelse

ISO 31000:2018 punkt 6.5.2 nævner som første håndteringsmulighed at undgå risikoen "ved at beslutte ikke at starte eller fortsætte den aktivitet, der giver anledning til risikoen", og ISO/IEC 27005 og NIST SP 800-39 bruger samme begreb under navnet risikoundgåelse. Det adskiller sig fra en anden mulighed på samme liste, at fjerne risikokilden: At afinstallere et sårbart plugin og beholde hjemmesiden fjerner en kilde, mens at lukke hjemmesiden undgår risikoen. Den praktiske test er, om selve forretningsaktiviteten stopper eller aldrig startes; fortsætter den i ændret form, er håndteringen som regel reduktion snarere end undgåelse.

Inden for informationssikkerhed viser undgåelse sig oftest som dataminimering og udfasning. Databeskyttelsesforordningens art. 5, stk. 1, litra c (dataminimering) og litra e (opbevaringsbegrænsning) trækker i samme retning: Personoplysninger, der aldrig indsamles eller slettes, når de ikke længere er nødvendige, kan ikke blive kompromitteret, indgå i en indsigtsanmodning eller holdes som gidsel. Andre almindelige former er at udfase systemer uden support i stedet for at forsøge at hærde dem, ikke at lancere en tjeneste i et land med uforenelige lovkrav, helt at slå en type funktionalitet fra (fx blokere makroer i Office-filer fra internettet i stedet for at scanne dem) og slet ikke at gemme betalingskortnumre, så behandlingen falder uden for organisationens PCI DSS-omfang.

Undgåelse har omkostninger og faldgruber. Man opgiver aktivitetens værdi, så den passer til risici, hvor aktiviteten giver lille gevinst, eller hvor alle andre muligheder efterlader en residual risiko over appetitten. Den skal være fuldstændig for at virke: Data, der er slettet i produktion, men stadig ligger i backup, logfiler, eksporter, testmiljøer eller i en SaaS-leverandørs opbevaring, er ikke undgået, kun flyttet ud af syne, så sletning bør verificeres og backupens opbevaringstid tilpasses. Og forbud uden alternativ flytter ofte risikoen i stedet for at fjerne den: Et forbud mod et populært værktøj til fildeling eller AI uden et godkendt alternativ driver typisk brugen over i private konti som skygge-IT, hvor organisationen hverken har overblik eller kontraktlig kontrol.

Fordi beslutningen som regel har forretningsmæssige konsekvenser ud over sikkerheden, træffes den normalt af ejeren af aktiviteten eller af ledelsen på grundlag af risikovurderingen, ikke dikteret af den. Det er den eneste mulighed, der bringer en risiko ned på nul, men kun for netop den risiko; organisationen skal stadig sikre sig, at en eventuel erstatningsproces ikke introducerer nye.