O evaluare leagă activele și dependențele de amenințările care le-ar putea afecta, de slăbiciunile care ar putea permite acele amenințări, de probabilitatea fiecărui scenariu și de consecințele producerii lui. Rezultatele pot fi calitative, cantitative sau mixte, dar trebuie să fie explicite privind domeniul de aplicare, ipotezele, dovezile și gradul de încredere.
Evaluarea este o intrare în procesul decizional, nu o decizie în sine. Ea informează ce riscuri sunt tratate, transferate, evitate sau acceptate, cine le acceptă și când trebuie actualizată analiza pe măsură ce sistemele, amenințările și obligațiile se schimbă.
Puncte esențiale
Domeniu și contextDefiniți activele, limitele, peisajul de amenințări, ipotezele, criteriile aplicabile și decizia pe care evaluarea trebuie să o susțină, înainte de a colecta dovezi.
AnalizăIdentificați amenințările relevante, vulnerabilitățile, controalele existente, factorii de probabilitate și dimensiunile de impact precum confidențialitatea, integritatea, disponibilitatea, siguranța și prejudiciul juridic sau financiar.
Evaluare și utilizareComparați rezultatele cu criteriile de risc, documentați alegerile de tratare și acceptarea riscului rezidual, desemnați proprietari și introduceți concluziile în proiectarea controalelor și în programe precum analiza impactului asupra afacerii.
Limitare importantăO evaluare a riscurilor este o estimare produsă pe baza unor ipoteze declarate, nu o măsurare a riscului real. Active neidentificate, aprecieri optimiste ale probabilității, informații despre amenințări învechite sau lacune de domeniu pot face rezultatele înșelătoare chiar și atunci când metoda este corectă.