A kár magában foglalhatja az üzemi zavart, a pénzügyi veszteséget, a safety-hatást, a jogi kitettséget, a csalást, a szellemi tulajdon elvesztését vagy az ügyfeleknek és partnereknek okozott kárt.
A hasznos kiberkockázati állítás nem önmagában nevez meg egy gyengeséget, hanem forgatókönyvet ír le: egy fenyegetés kihasználhat egy adott eszközöket vagy szolgáltatásokat érintő állapotot, és meghatározott üzleti következményeket okozhat. A valószínűség és a hatás segít becsülni a kockázatot, de mindkettő bizonytalanságot tartalmaz, ezért feltételezésekkel és bizonyítékokkal kell alátámasztani őket.
Legfontosabb pontok
Elsődleges célA technikai állapotok összekapcsolása az üzleti és küldetésbeli célokról szóló döntésekkel.
Az értékelés bemeneteiKritikus szolgáltatások, eszközök, fenyegetések, sebezhetőségek, meglévő kontrollok, függőségek, valószínű következmények és bizonytalanság.
Kezelési lehetőségekNegatív kiberkockázatok esetén elfogadás, elkerülés, mérséklés, megosztás vagy átruházás. A pozitív vállalati kockázati lehetőségek más kezelési módokat — például megvalósítást vagy fokozást — igényelnek.
Fontos különbségA sebezhetőség súlyossága nem azonos a kockázattal; az expozíció, a kihasználhatóság, az üzleti kontextus és a kompenzáló kontrollok módosíthatják a prioritást.
Fontos korlátEgyetlen számszerű pontszám elfedheti a bizonytalanságot, és nem helyettesíti a dokumentált forgatókönyvet és az elszámoltatható döntést.