Nærbillede af hænder, der holder en tablet, som viser tekst.

Hvad er en risikovurdering af cybersikkerhed?

Opdag, hvad en risikovurdering af cybersikkerhed indebærer, og hvordan den hjælper organisationer med at indføre proaktive, robuste sikkerhedsforanstaltninger.

Udforsk samlet SecOps, der er drevet af kunstig intelligens

Forstå en risikovurdering af cybersikkerhed

En risikovurdering af cybersikkerhed giver en struktureret metode til at identificere, evaluere og håndtere sikkerhedsrisici, der kan bringe din organisation i fare. I stedet for at reagere på hændelser understøtter denne proaktive tilgang smartere beslutningstagning og langsigtet robusthed. Den giver teams en klarere forståelse af potentielle trusler og hjælper med at prioritere de trin, der skal til for at styrke forsvar, beskytte følsomme data og opfylde lovkrav.

Vigtige budskaber

En risikovurdering af cybersikkerhed hjælper organisationer med proaktivt at identificere, evaluere og reducere sikkerhedsrisici på tværs af systemer, personer og processer.
Regelmæssige vurderinger understøtter overholdelse af angivne standarder, minimerer afbrydelser og guider smartere investeringer i sikkerhedskontroller.
De vigtigste trin omfatter at definere omfanget, identificere aktiver, vurdere trusler og sårbarheder, evaluere kontrolelementer og prioritere risici.
Brug af almindelige strukturer som NIST og MITRE ATT&CK® sikrer, at vurderinger er konsistente, skalerbare og handlingsrettede.
Risikovurderinger bør være løbende, med resultater integreret i forretningsplanlægningen og opdateret løbende, efterhånden som systemer og risici ændrer sig.

Vigtigheden af en risikovurdering for cybersikkerhed

Med mangel på sikkerhedsekspertise og en stigning i cloud- og AI-drevne trusler giver en cybersikkerhed risikovurdering organisationer et tydeligere overblik over, hvor de står, og hvad der kræver opmærksomhed, før der sker en hændelse.

Derfor er det vigtigt:

Styrker proaktiv sikkerhed. Ved at identificere risici tidligt kan du undgå dyr nedetid, datatab og forretningsafbrydelser.
Beskytter følsomme data. Ved at forstå, hvor følsomme oplysninger findes, og hvordan de kan blive eksponeret, kan du indføre de rette beskyttelser, før en hændelse opstår.
Understøtter overholdelse af angivne standarder. Mange regler, som generel forordning om databeskyttelse (GDPR), Health Insurance Portability and Accountability Act (HIPAA) ogSarbanes-Oxley-lovgivning fra 2002, kræver risikovurderinger som en del af løbende compliance-arbejde.
Styrer intelligent investering. Den viser organisationer, hvor de skal fokusere tid og ressourcer, i stedet for at gætte eller reagere efter et angreb.
Reducerer menneskelige og systemiske fejl. Ved at afdække huller i politikker, processer og træning hjælper den med at minimere fejl, der fører til brud.
Opbygger modstandsdygtighed og tillid. Regelmæssige vurderinger styrker din evne til at reagere og komme dig, og de viser kunder, partnere og tilsynsmyndigheder, at du tager sikkerhed alvorligt.

Vigtige elementer i en risikovurdering af cybersikkerhed

En omfattende risikovurdering af cybersikkerhed evaluerer flere lag af en organisations’sikkerhedstilstand fra teknisk infrastruktur til menneskelige faktorer. Dette giver organisationer mulighed for systematisk at identificere risici og udvikle målrettede strategier for at afhjælpe dem.

Vigtige elementer i en risikovurdering af cybersikkerhed

En velstruktureret risikovurdering omfatter flere vigtige trin:

1. Definér omfanget

En risikovurdering af cybersikkerhed begynder med at definere omfanget. Det betyder, at du præcist skal identificere, hvilken del af organisationen der skal vurderes, uanset om det er en bestemt forretningsenhed, en app eller hele virksomhedens it-miljø. Et klart omfang forhindrer blinde vinkler og hjælper med at bevare fokus. Det skal omfatte:

Fysisk infrastruktur som servere, stationære computere, mobilenheder og IoT-slutpunkter.
Softwaresystemer som interne værktøjer, cloudplatforme, tredjepartsapps og databaser.
Netværkslaget, herunder segmentering, fjernadgang og eksternt tilgængelige tjenester.
Personer, herunder brugerroller, adgangsniveauer og digitale aktiviteter for medarbejdere, underleverandører og leverandører.

2. Identificer aktiver

Når omfanget er etableret, er det næste trin at identificere aktiver. Det indebærer at kortlægge alt af værdi inden for det definerede omfang, som understøtter forretningsdriften. Aktiver omfatter:

Fysisk hardware, f.eks. bærbare computere, servere, routere og lagerenheder.
Softwaresystemer, f.eks. operativsystemer, line of business-programmer, sikkerhedsværktøjer og brugerdefineret kode.
Netværksinfrastruktur, herunder trådløse adgangspunkter, VPN'er, firewalls og DNS-systemer.
Personer, f.eks. medarbejdere, administratorer, tredjepartsbrugere og deres tilknyttede identitets- og adgangsoplysninger.

Hvert aktiv skal klassificeres på baggrund af, hvor vigtigt det er for virksomheden.

3. Find trusler

En trussel er enhver potentiel hændelse, aktør eller tilstand, der kan forårsage skade ved at udnytte en sårbarhed i et system, netværk, en app eller en proces. Det er delen med "hvordan tingene kan gå galt" i et risikoscenarie.

Trusler kan være:

Bevidst, f.eks. en cyberkriminel, der starter en phishing angreb eller en insider, der misbruger deres adgang.
Utilsigtet, som en fejlkonfigureret firewall eller en medarbejder, der sender følsomme data til den forkerte person.
Miljøforhold, herunder brande, oversvømmelser eller strømafbrydelser, der forstyrrer driften eller beskadiger udstyret.

De kan målrette hardware (f.eks. stjæle en bærbar computer), software (udnytte en fejl i et program), netværk (opfange ukrypteret trafik) eller personer (narre brugere til at dele adgangskoder).

4. Vurder sårbarheder

En sårbarhed er en svaghed i et system, en app, en proces eller menneskelig adfærd, som en trussel kan udnytte til at forårsage skade eller uautoriserede resultater. Det er delen med "hvordan tingene kan gå galt" i et risikoscenarie.

Sårbarheder kan vise sig på mange måder:

Hardware. Ikke-krypterede bærbare computere, forældet firmware eller usikre porte.
Software. Apps uden opdateringer, standardlegitimationsoplysninger eller kode, der ikke er sikker.
Netværk. Åbne porte, svag kryptering eller dårlig segmentering.
Menneskelige faktorer. Genbrugte adgangskoder, manglende oplæring eller for mange adgangsrettigheder.

En sårbarhed fører ikke automatisk til en hændelse, men når den kombineres med en relevant trussel, åbner den døren for risiko. En webserver, der kører forældet software, er f.eks. sårbar. Hvis en trusselsaktør scanner for denne sårbarhed og udnytter den, kan organisationen blive udsat for en databrud.

5. Evaluer eksisterende kontrolelementer

Når trusler og sårbarheder er identificeret, er det tid til at vurdere de kontrolforanstaltninger, der allerede er på plads for at afbøde dem. Kontrolelementer kan opdeles i tre brede typer:

Forebyggende. For eksempel firewalls, antivirussoftware og multifaktorgodkendelse.
Detektiv. Herunder systemer til registrering af indtrængen samt SIEM-værktøjer (Security Information and Event Management).
Korrigerende. Eksempler omfatter sikkerhedskopier og planer til it-katastrofeberedskab.

Det er vigtigt at vurdere dækningen på tværs af:

Hardware. Er der fysiske sikkerhedsforanstaltninger som badgeadgang, enhedskryptering eller sikre procedurer for bortskaffelse?
Software. Er administration af programrettelser og sikre udviklingspraksisser på plads?
Netværk. Segmenterer du trafikken, logger korrekt og bruger TLS til krypteret kommunikation?
People. Er medarbejderne trænet i opmærksomhed om phishing? Følger adgangspolitikkerne princippet om mindst mulige rettigheder?

Denne evaluering giver indsigt i, hvor effektive de nuværende forsvar er, og hvor der stadig er huller.

6. Identificer sandsynlighed og indvirkning

For hvert identificeret risikoscenarie skal du estimere:

Likelihood. Hvor sandsynlig er truslen, når de nuværende kontroller tages i betragtning?
Effekt. Hvad ville der ske, hvis det lykkedes med økonomisk tab, dataeksponering, nedetid?

Overvej forretningsforstyrrelser, regulatoriske bøder, skade på omdømmet og driftsomkostninger. Hardware- eller netværksfejl kan f.eks. medføre omfattende afbrydelser, mens et phishingangreb kan føre til datatab via kompromitterede legitimationsoplysninger.

7. Beregn risiko

Kombinér nu sandsynlighed og påvirkning for at fastlægge en risikovurdering for hvert scenarie.

For eksempel:

Risikoscenarie	Likelihood	Effekt	Risikoniveau
Ransomware på forældede servere	Høj	Høj	Kritisk
Forkert konfigureret firewallregel	Mellem	Mellem	Moderat
Phishingmail, der omgår filtrene	Høj	Lav	Moderat

Dette hjælper med at prioritere, hvilke problemer der kræver hurtig opmærksomhed, og hvilke der er acceptable eller acceptable.

8. Anbefal afhjælpninger

For hver høj eller kritisk risiko skal du foreslå handlinger for at reducere den. Anbefalinger kan omfatte:

Hardware. Håndhæv krypteret lagring, sikre startindstillinger og lås ubrugte porte ned.
Software. Implementér regelmæssig opdatering, og brug kodeanalyseværktøjer i udviklingspiplinen.
Netværk. Indfør netværkssegmentering, og implementér forebyggelsessystemer mod indtrængen.
People. Udvid uddannelse i sikkerhedstilgængelighed, og gennemtving stærkere adgangskontroller og identitetsbekræftelse.

Anbefalinger bør afbalancere risikoreduktion med omkostninger, kompleksitet og påvirkning af brugervenligheden.

9. Dokumentér og rapportér

En grundig risikovurdering bør dokumenteres tydeligt og deles med interessenter på flere niveauer. Rapporten omfatter typisk et overordnet resumé til ledelsen, detaljerede tekniske resultater til it- og sikkerhedsteams samt prioriterede handlingspunkter. Visuelle elementer som varmekort, arkitekturdiagrammer og tabeller hjælper ofte med at kommunikere komplekse risici mere effektivt. Dokumentationen bør omfatte en oversigt over aktiver, identificerede trusler og sårbarheder, aktuelle kontroller, risikovurderinger og anbefalede afbødninger. Rapporten skal også angive, hvem der er ansvarlig for hver handling, og hvornår opfølgningsvurderinger er planlagt. Gennemsigtighed og tydelighed hjælper med at sikre indkøb og justere teams.

10. Gennemse og gentag

Risikovurderinger er ikke noget, man gør én gang – de er en del af en løbende cyklus. Teknologien udvikler sig, forretningsprocesser ændrer sig, og nye trusler opstår hele tiden. Her er nogle tips, der hjælper dig med at forblive robust og forberedt.

Planlæg regelmæssige vurderinger (kvartalsvis, årligt eller efter større ændringer).
Automatisér, hvor det er praktisk muligt (løbende sårbarhedsscanning, overvågning af slutpunkter).
Juster dine kontrolelementer, i takt med at der opstår nye risici, især i forbindelse med fjernarbejde, afhængigheder af forsyningskæder eller generative AI-værktøjer.

Metoder til at gennemføre en risikovurdering af cybersikkerhed

Vurderinger af cybersikkerhedsrisici er afhængige af en kombination af automatiserede værktøjer og manuelle teknikker til at identificere og analysere sikkerhedsrisici. Almindelige tilgange omfatter:

Automatiserede scanningsværktøjer, der identificerer sikkerhedshuller i netværk, slutpunkter og cloudmiljøer.
Indtrængningstest, der simulerer cyberangreb for at teste sikkerhedsbeskyttelse.
Sikkerhedsovervågninger, der evaluerer sikkerhedspolitikker, overholdelse af angivne standarder og styringskontroller.
Adfærdsanalyse, der overvåger personers digitale aktivitet for uregelmæssigheder, der kan indikere insidertrusler eller kompromitterede konti.

Brug af flere metoder er med til at sikre en grundig vurdering, der tager både tekniske og menneskelige risici.

Branchestrukturer og -standarder

For at opretholde konsistens og overholdelse af angivne standarder følger risikovurderinger af cybersikkerhed ofte etablerede strukturer, f.eks.:

NIST Cybersecurity Framework er udarbejdet af National Institute of Standards and Technology, en ikke-regulatorisk amerikansk myndighed, og indeholder retningslinjer til at identificere, beskytte, registrere, reagere på og genoprette efter cybertrusler.
ISO/IEC 27001 fastlægger en international standard for styringssystemer til informationssikkerhed.
CIS Controls skitserer bedste praksis for sikring af it-miljøer.

Fordele og udfordringer ved en risikovurdering af cybersikkerhed

Udførelse af regelmæssige vurderinger af cybersikkerhedsrisici er et strategisk træk, der understøtter både sikkerhedsmål og forretningsprioriteter. Selvom processen kommer med udfordringer, er fordelene langt bedre end problemerne.

Fordele

Når de udføres konsekvent, hjælper vurderinger af cybersikkerhed organisationer med at styrke forsvar og opbygge langsigtet robusthed. Nøglefordelene inkluderer:

Forbedret sikkerhedsniveau. Regelmæssige vurderinger hjælper med at identificere og afhjælpe svagheder, før angribere kan udnytte dem. Dette fører til en mere robust og dynamisk sikkerhedsstruktur.
Lovgivningsmæssig overholdelse af angivne standarder. Mange brancher er påkrævet for at overholde standarder for cybersikkerhed. Risikovurderinger understøtter overholdelse af regler som f.eks.Generel forordning om databeskyttelse og HIPAA (Health Insurance Portability and Accountability Act).
Proaktiv beskyttelse. Vurderinger hjælper teams med at opdage sårbarheder tidligt, forhindre brud og minimere potentielle skader. Det er mere effektivt – og mere omkostningseffektivt – end at reagere efter en hændelse.
Ressource- og omkostningsstyring. Ved at prioritere de mest kritiske risici kan organisationer gøre smartere brug af budgetter, medarbejdere og værktøjer. Risikovurderinger hjælper med at sikre, at ressourcer allokeres til de områder, der betyder mest.

Almindelige udfordringer

På trods af deres værdi kan vurderinger af cybersikkerhed give problemer, især for voksende organisationer eller teams med begrænset erfaring. Nogle almindelige udfordringer omfatter:

Mangel på intern ekspertise. Mange teams har ikke den rette kombination af færdigheder til at vurdere komplekse miljøer.
Rids- og ressourcebegrænsninger. Grundige vurderinger kræver indsats, koordinering og en klar proces, hvilket kan være svært uden dedikeret support.
Inkonsekvent udførelse. Uden en standardiseret tilgang eller ramme kan vurderinger variere i kvalitet og omfang.
At holde trit med ændringerne. Ny teknologi, cloudmiljøer og hybride arbejdsmodeller skaber løbende kompleksitet.
flere forskellige sikkerhedsværktøjer. Vurdering af risici kan være svært for organisationer, der bruger mange sikkerhedsværktøjer, der ikke er godt integreret.

For at håndtere disse udfordringer kræves det ofte, at man inddrager ekstern ekspertise, tager automatisering i brug eller bruger standardiserede værktøjer og strukturer.

Omkostningerne ved at springe risikovurderinger over

Selvom det kan være svært, er det’vigtigt at begynde at indføre en effektiv proces til risikovurdering af cybersikkerhed. Hvis du ikke udfører regelmæssige vurderinger, kan det have alvorlige konsekvenser. Uden indsigt i de risici, der ændrer sig over tid, står organisationer over for:

Øget risiko for databrud. Sikkerhedsrisici og fejlkonfigurationer, der ikke er opdateret, bliver åbne døre for hackere.
Økonomiske tab. Brud er ofte forbundet med høje omkostninger, herunder lavere produktivitet, nedetid og tabte forretninger.
Juridiske og lovmæssige sanktioner. Manglende overholdelse af regler om databeskyttelse og beskyttelse af personlige oplysninger kan føre til bøder eller retlige skridt.
Skade på omdømmet. Kunder og partnere mister hurtigt tilliden efter en sikkerhedshændelse.

Bedste praksis for udførelse af en risikovurdering af cybersikkerhed

En risikovurdering af cybersikkerhed er kun lige så stærk som processen bag den. Følg bedste praksis for at sikre, at vurderinger er effektive, kan gentages og afstemmes med forretningsprioriteter.

Start med klare mål

Før du går i dybden, er det vigtigt at definere, hvad vurderingen skal opnå. Det kan betyde, at man skal identificere kritiske aktiver og potentielle trusler, opfylde krav til overholdelse af angivne standarder, reducere sandsynligheden for hændelser eller informere om fremtidige sikkerhedsinvesteringer. Angivelse af klare mål på forhånd hjælper med at sikre, at vurderingen forbliver fokuseret, relevant og handlingsrettet i hele processen.

Involver de rette interessenter

En risikovurdering er ikke kun en opgave for it-afdelingen – den kræver input fra hele organisationen. Sikkerheds- og it-teams leverer teknisk ekspertise, mens juridiske og overholdelse af angivne standarder tilbyder vejledning i lovgivningsmæssig risiko. Drift og menneskelige ressourcer kan fremhæve bekymringer om processer og personale, mens den øverste ledelse har ansvaret for at sikre afstemning med forretningsmålene. Hvis du medtager flere perspektiver, er det med til at sikre, at vurderingen registrerer en lang række risici, fra fejlkonfigurationer af software til menneskelig adfærd.

Beslut mellem intern eller ekstern vurdering

Der er ingen enkelt bedste tilgang til at udføre en risikovurdering. Interne vurderinger er ofte mere omkostningseffektive og drager fordel af institutionaliseret viden, men de kan overse blinde vinkler eller mangle specialiserede værktøjer. Eksterne vurderinger giver et friskt, upartisk perspektiv og dybere ekspertise, men de kan være dyrere, og de personer, der gennemfører vurderingen, kender normalt de interne systemer dårligere. Mange organisationer vælger en hybrid tilgang: Brug interne teams til regelmæssige anmeldelser og til at få eksterne eksperter til at dykke dybere ned, eller når overholdelse af angivne standarder kræver det.

Vælg den rette strategi til risikohåndtering

Når risici er identificeret, skal organisationer beslutte, hvordan de skal reagere. Nogle risici kan accepteres, hvis de falder inden for virksomhedens tolerance. Andre kan helt undgås ved at fjerne det system eller den aktivitet, der introducerer dem. Risici kan også overføres til en tredjepart, for eksempel gennem forsikring eller kontraktlige aftaler. Oftest vælger organisationer at reducere risici ved at anvende kontroller, der mindsker sandsynligheden eller påvirkningen til et acceptabelt niveau. Den rigtige strategi afhænger af forretningsmål, risikoappetit og de tilgængelige ressourcer.

Dokumentér alt

Det er afgørende for både kort- og langsigtet succes at vedligeholde nøjagtig dokumentation. Det hjælper organisationer med at overholde branchekrav, følge ændringer og tendenser over tid og træffe hurtigere og bedre informerede beslutninger. God dokumentation strømliner også revisioner, forenkler sikkerhedsgennemgange og opretholder kontinuitet, selv i takt med at teams eller systemer udvikler sig.

Reager på resultaterne

Værdien af en risikovurdering ligger i den måde, resultaterne bruges på. Sikkerhedsrisici med høj risiko skal håndteres først, og trin til afhjælpning bør justeres i forhold til bredere sikkerhedsmål. Tildel ansvar for hver handling, spor status, og revaluer regelmæssigt for at sikre, at forbedringerne bliver ved med at være der. Behandl resultaterne som en del af en kontinuerlig proces, ikke som en engangsøvelse, og byg opfølgning ind i din sikkerhedskultur.

Vurder med den rette hyppighed

Teknologien udvikler sig hurtigt, og trusselsaktiviteten gør det samme. Det betyder, at risikovurderinger bør gennemføres mere end én gang om året, især i miljøer med høj risiko. Brancher som økonomi og sundhedsvæsenet revaluer ofte kvartalsvis eller halvårligt. Mindre virksomheder gør det måske én gang om året eller efter større ændringer i infrastrukturen. Virksomheder med cloud-first-strategi eller høj vækst kan have brug for endnu hyppigere vurderinger for at følge med i de skiftende angrebsoverflader. Det er også en god idé at revurdere efter store begivenheder som fusioner, brud på sikkerheden eller lovgivningsmæssige opdateringer.

Nye tendenser inden for risikovurdering af cybersikkerhed

Med tiden bliver risikovurderinger af cybersikkerhed hurtigere, mere kontinuerlige og mere integreret med virksomhedens beslutningstagning. Traditionelle vurderinger – manuelle, periodiske og reaktive – er ved at blive erstattet af smartere, realtidsbaserede tilgange, der tilpasser sig udviklende trusler og miljøer.

AI-assisterede værktøjer spiller en større rolle ved at automatisere opgaver som registrering af aktiver, scanning af sikkerhedsrisici og risikoscoring. Disse teknologier understøtter mennesker ved at fremhæve mønstre og hjælpe teams med at reagere hurtigere.

Risikovurderinger bliver også mere dynamiske. I stedet for at være årlige eller kvartalsvise afkrydsningsfelter fungerer de som løbende processer. Organisationer vil løbende overvåge deres angrebsoverflade – især i cloud-first-, hybrid- eller stærkt distribuerede miljøer – så de kan identificere og revurdere risici, efterhånden som systemerne ændrer sig.

Vi vil også se mere integration mellem cybersikkerhed og forretningsstrategi. I takt med at tavler og ledere bliver mere risikobevidste, behandles cybersikkerhedsrisici som økonomisk eller driftsmæssig risiko—med tydelige målepunkter, defineret ejerskab og et sæde ved tabellen. Vurderinger vil ikke kun påvirke sikkerhedsudgifter, men også forretningsplanlægning, produktdesign og digital transformation.

Endelig får menneskelige faktorer mere opmærksomhed. Tekniske kontroller er kun en del af billedet – organisationer vil i stigende grad vurdere og håndtere risici knyttet til adfærd, kultur og arbejdsstyrkens robusthed. Det betyder, at der ikke kun skal evalueres systemer og software, men også hvordan folk arbejder, hvordan beslutninger bliver truffet, og hvor godt teams tilpasser sig under pres.

Løsninger til risikovurdering af cybersikkerhed

Hvis du vil være på forkant med nye trusler og inkorporere cybersikkerhed i overordnede forretningsbeslutninger, skal du inkorporere en regelmæssig risikovurdering af cybersikkerhed i dine sikkerhedshandlinger. Flere løsninger kan hjælpe dig med at etablere en effektiv proces. Security Information and Event Management (SIEM)SIEM-løsninger (Security Information and Event Management), f.eks. Microsoft Sentinel, hjælpe med at korrelere hændelser, identificere uregelmæssigheder og prioritere underretninger med indbyggede analyser og om efterretninger om cybertrussel. Udvidet registrering og svar (XDR)XDR-løsninger (Udvidet registrering og svar) giver dyb indsigt i potentielle angrebsstier på tværs af slutpunkter, identiteter, mail og cloudapps. Ved at samle SIEM og XDR i én samlet SecOps-løsning hjælper beskyttere med at se risici på tværs af hele deres digitale ejendom og udføre koordinerede handlinger hurtigere. Løsninger med AI til cybersikkerhed, som Microsoft Security Copilot, giver mening ud af signaler, så de kan fremhæve indsigt og anbefale næste trin.

RESSOURCER

Få mere at vide om løsninger til cybersikkerhed fra Microsoft Security

En mand, der holder en tablet og forklarer noget til en kvinde.

Løsning

Samlet SecOps, der er drevet af kunstig intelligens

Foren sikkerhedshandlinger på tværs af forebyggelse, registrering og reaktion for at opnå bedre og mere tilpasset beskyttelse.

Få mere at vide

En person sidder ved et skrivebord og bruger en computer.

Portal til trusselsbeskyttelse

Nyheder om cybersikkerhed og kunstig intelligens

Opdag de seneste tendenser og bedste praksisser inden for beskyttelse mod cybertrusler og kunstig intelligens for cybersikkerhed.

Hent de seneste ressourcer

En mand i jakkesæt og slips, der sidder ved et skrivebord med en bærbar computer.

Rapport

Microsoft-rapport over digitalt forsvar for 2024

Hold dig foran det udviklende trusselsbillede med dybdegående research og brugbar indsigt.

Hent rapporten

En risikovurdering for cybersikkerhed omfatter typisk identificering af aktiver, identificering af potentielle trusler og sårbarheder, analyse af sandsynligheden for og virkningen af disse trusler, bestemmelse af risikoniveauer og valg af passende risikobehandlinger. Processen slutter med dokumentation og implementeringen af strategier for risikoafhjælpning efterfulgt af løbende overvågning og periodisk revurdering. Denne strukturerede tilgang hjælper organisationer med at håndtere og reducere deres samlede risikoudsættelse.
En risikovurdering af sikkerheden omfatter en gennemgang af hardware, software, netværk, data og brugeradfærd for at identificere potentielle sikkerhedsrisici. Den evaluerer også eksisterende sikkerhedskontroller, vurderer den potentielle indvirkning af forskellige trusler og anbefaler handlinger til at reducere eller administrere risici. Målet er at få indsigt i sikkerhedshuller og prioritere ressourcer effektivt.
NIST-risikovurderingen refererer til den metode, der er beskrevet af National Institute of Standards and Technology i Special Publication 800-30, Revision 1. Den indeholder en ramme til at identificere, vurdere og administrere risici i forbindelse med cybersikkerhed på tværs af føderale myndigheder og organisationer i den private sektor. NIST-modellen er bredt anvendt for sin strukturerede og gentagelige tilgang til risikoanalyse.