Hodnotenie prepája aktíva a závislosti s hrozbami, ktoré by ich mohli ovplyvniť, so slabými miestami, ktoré by tieto hrozby mohli umožniť, s pravdepodobnosťou každého scenára a s dôsledkami, ak nastane. Výstupy môžu byť kvalitatívne, kvantitatívne alebo zmiešané, no mali by byť explicitné o rozsahu, predpokladoch, dôkazoch a miere istoty.
Hodnotenie je vstupom do rozhodovania, nie samotným rozhodnutím. Informuje o tom, ktoré riziká sa budú riešiť, prenášať, vyhýbať sa im alebo prijímať, kto ich prijíma a kedy treba analýzu obnoviť, keď sa menia systémy, hrozby a povinnosti.
Kľúčové body
Rozsah a kontextPred zberom dôkazov definovať aktíva, hranice, prostredie hrozieb, predpoklady, použiteľné kritériá a rozhodnutie, ktoré má hodnotenie podporiť.
AnalýzaIdentifikovať relevantné hrozby, zraniteľnosti, existujúce kontroly, faktory pravdepodobnosti a dimenzie dopadu, ako sú dôvernosť, integrita, dostupnosť, bezpečnosť, právne a finančné škody.
Vyhodnotenie a použitiePorovnať výsledky s kritériami rizika, zdokumentovať voľby nápravy a akceptáciu zvyškového rizika, priradiť vlastníkov a vniesť nálezy do návrhu kontrol a programov, ako je analýza dopadov na podnikanie.
Dôležité obmedzenieHodnotenie rizík je odhad vytvorený za deklarovaných predpokladov, nie meranie skutočného rizika. Neidentifikované aktíva, optimistické úsudky o pravdepodobnosti, zastarané informácie o hrozbách alebo medzery v rozsahu môžu výsledky spraviť zavádzajúcimi, aj keď je metóda správna.