Ocena łączy zasoby i zależności z zagrożeniami, które mogłyby na nie wpłynąć, słabościami umożliwiającymi te zagrożenia, prawdopodobieństwem każdego scenariusza i konsekwencjami jego wystąpienia. Wyniki mogą być jakościowe, ilościowe lub mieszane, ale powinny jasno określać zakres, założenia, dowody i poziom pewności.
Ocena jest danymi wejściowymi do podejmowania decyzji, a nie samą decyzją. Informuje o tym, które ryzyka są ograniczane, przenoszone, unikane lub akceptowane, kto je akceptuje i kiedy analiza musi zostać odświeżona wraz ze zmianami systemów, zagrożeń i obowiązków.
Najważniejsze punkty
Zakres i kontekstZdefiniuj zasoby, granice, krajobraz zagrożeń, założenia, stosowne kryteria i decyzję, którą ocena ma wesprzeć — zanim zaczniesz zbierać dowody.
AnalizaZidentyfikuj istotne zagrożenia, podatności, istniejące kontrole, czynniki prawdopodobieństwa i wymiary skutków, takie jak poufność, integralność, dostępność, bezpieczeństwo fizyczne, skutki prawne i finansowe.
Ewaluacja i wykorzystaniePorównaj wyniki z kryteriami ryzyka, udokumentuj wybory postępowania i akceptację ryzyka residualnego, przydziel właścicieli i przekaż ustalenia do projektowania kontroli oraz programów takich jak analiza wpływu na działalność (BIA).
Istotne ograniczenieOcena ryzyka jest szacunkiem sporządzonym przy określonych założeniach, a nie pomiarem rzeczywistego ryzyka. Niezidentyfikowane zasoby, optymistyczne oceny prawdopodobieństwa, nieaktualne informacje o zagrożeniach lub luki w zakresie mogą sprawić, że wyniki będą mylące nawet przy poprawnej metodzie.