Szkoda może obejmować zakłócenie działania, straty finansowe, skutki dla bezpieczeństwa fizycznego, odpowiedzialność prawną, oszustwa, utratę własności intelektualnej lub szkody dla klientów i partnerów.
Użyteczne sformułowanie ryzyka cybernetycznego opisuje scenariusz, a nie izolowaną słabość: zagrożenie może wykorzystać warunek dotyczący określonych zasobów lub usług i wywołać zdefiniowane konsekwencje biznesowe. Prawdopodobieństwo i wpływ pomagają oszacować ryzyko, ale oba zawierają niepewność i powinny być podparte założeniami oraz dowodami.
Najważniejsze punkty
Główny celPowiązanie warunków technicznych z decyzjami dotyczącymi celów biznesowych i misyjnych.
Dane wejściowe ocenyUsługi krytyczne, zasoby, zagrożenia, podatności, istniejące kontrole, zależności, prawdopodobne konsekwencje i niepewność.
Opcje reakcjiDla negatywnych ryzyk cybernetycznych — akceptuj, unikaj, ograniczaj, dziel się lub przenoś. Pozytywne szanse w ryzyku przedsiębiorstwa mają inne reakcje, np. realizuj lub wzmacniaj.
Istotne rozróżnienieWaga podatności nie jest tym samym co ryzyko; ekspozycja, możliwość wykorzystania, kontekst biznesowy i kontrole kompensujące mogą zmieniać priorytet.
Istotne ograniczeniePojedyncza ocena liczbowa może ukrywać niepewność i nie powinna zastępować udokumentowanego scenariusza oraz rozliczalnej decyzji.