Risikoprofil

ISO Guide 73:2009 (nu afløst af ISO 31073:2022) definerer en risikoprofil blot som en beskrivelse af et hvilket som helst sæt af risici, som kan dække hele organisationen, en del af den eller et andet afgrænset område. COSO's ramme for virksomhedsrisikostyring fra 2017 giver begrebet mere struktur: En risikoprofil er et samlet billede af risicienes type, alvor og indbyrdes afhængigheder på et givet niveau i virksomheden, som kan afbildes over for præstationen for at vise, hvor meget risiko der tages for et givet resultat, og sammenlignes med appetit og kapacitet. Det afgørende er, at en profil er en konstatering af nuet, mens appetitten er en hensigtserklæring. Afstanden mellem de to er det, der bestemmer prioriteringen af håndteringen.

En profil er mere end summen af de enkelte poster i registret. Sammentællingen afslører koncentrationer og korrelationer, som de enkelte vurderinger skjuler: Flere middelrisici, der alle afhænger af én identitetsudbyder, én driftsleverandør eller én cloudregion, kan tilsammen udgøre ét alvorligt scenarie. Brugbare profiler viser derfor koncentrationen af afhængigheder, de vigtigste scenarier efter forventet tab og tab i halen, fordelingen af residuale vurderinger og udviklingen siden sidste periode, ikke kun antallet af røde og gule felter.

De eksterne drivere er branche, størrelse, geografi, regulatorisk status, offentlig synlighed og værdien af organisationens data eller ydelser for angribere. Branchen betyder noget, fordi trusselsaktører specialiserer sig: Statsstøttet spionage retter sig især mod offentlig forvaltning, forsvar, forskning og kritisk infrastruktur, mens økonomisk motiveret ransomware i vid udstrækning er opportunistisk og rammer det, der er eksponeret. NIS2 art. 21, stk. 1, skriver det ind i loven ved at kræve, at der ved vurderingen af proportionalitet tages hensyn til enhedens eksponering for risici, dens størrelse og sandsynligheden for og alvoren af hændelser, herunder deres samfundsmæssige og økonomiske konsekvenser. Cyberforsikringsselskaber opbygger en tilsvarende ekstern profil ved tegning ud fra spørgeskemaer og scanninger af aktiver, der vender mod internettet.

Profilen afgør, hvilket udgangspunkt der giver mening. CIS Controls v8 udtrykker det med Implementation Groups: IG1 er et sæt på 56 safeguards, der beskrives som grundlæggende cyberhygiejne for organisationer med begrænsede IT-ressourcer, og IG2 og IG3 tilføjer safeguards for organisationer med mere komplekse miljøer, mere følsomme data eller målrettede trusler, op til alle 153 i IG3. Begrebet må ikke forveksles med Organizational Profiles i NIST CSF 2.0, som beskriver nuværende og ønskede tilstande for cybersikkerhedsresultater frem for et sæt risici, selv om en målprofil efter CSF typisk udledes af risikoprofilen.