Trussel

I formel risikometodik dekomponeres en trussel i en trusselskilde og en trusselshændelse. NIST SP 800-30 Rev. 1 inddeler kilder i fire typer: aktørbaserede (personer, grupper, organisationer eller stater, der handler med hensigt), utilsigtede (fejlhandling begået af en bruger eller administrator), strukturelle (svigt i udstyr, software eller miljøkontroller, fx en disk eller et køleanlæg) og miljømæssige (natur- eller menneskeskabte katastrofer - brand, oversvømmelse, strømsvigt). Denne taksonomi er vigtig, fordi den holder risikovurderingen ærlig: en organisation, der kun modellerer hackere, undervurderer systematisk den utilsigtede sletning, den fejlede backup og den oversvømmede kælder, som står for en stor del af de reelle tab. En trussel bliver først konsekvensfyldt i kombination med en sårbarhed, den kan handle på, og et aktiv af værdi; en trussel uden en tilsvarende svaghed giver ingen risiko.

Særligt for aktørbaserede trusler gør disciplinen trusselsmodellering analysen systematisk. STRIDE opregner kategorier af, hvad der kan gå galt (spoofing, tampering, repudiation, information disclosure, denial of service, elevation of privilege); attack trees dekomponerer et mål i trin; og MITRE ATT&CK-vidensbasen katalogiserer de taktikker og teknikker, modstandere faktisk bruger, og giver forsvarere et fælles sprog til at beskrive adfærd. NIST SP 800-30 vurderer aktørbaserede trusselshændelser ud fra evne, hensigt og målretning, så en kapabel, men uinteresseret aktør og en ivrig, men ukyndig aktør scores forskelligt frem for at blive slået sammen som "hackere".

Trusselsefterretning operationaliserer dette på nationalt og organisatorisk niveau. I Danmark udgiver Styrelsen for Samfundssikkerhed (SAMSIK), som Center for Cybersikkerhed (CFCS) blev en del af i 2025, tilbagevendende trusselsvurderinger (det nationale cybertrusselsbillede) og vurderer truslen fra fx cyberkriminalitet og cyberspionage på en kvalitativ skala; de indgår i trusselsidentifikationstrinnet af en risikovurdering. At skelne en trussel fra nabobegreberne er afgørende for at bruge noget af dette korrekt: en trussel er en mulig årsag til skade, en sårbarhed er den svaghed, den ville udnytte, en trusselsaktør er den konkrete modstander bag en aktørbaseret trussel, og risiko er kombinationen af en trussels sandsynlighed og dens konsekvens.

En tilbagevendende misforståelse er at sammenblande trussel med risiko og handle på den mest skræmmende trussel frem for den mest sandsynlige og konsekvensfyldte; formålet med at navngive trusler er at fodre en struktureret vurdering, ikke at styre forbruget efter frygt. En anden er at behandle trusselskataloget som statisk - trusselsbilledet skifter, efterhånden som nye aktører, værktøjer og afhængigheder dukker op, så trusselsidentifikation er en gentagen aktivitet, ikke en engangsliste. Endelig overser et ensidigt fokus på eksterne modstandere insideren, tredjepartsleverandøren og det ikke-ondsindede svigt, som firetype-taksonomien netop skal holde i spil.