Bilgi güvenliğinde risk genellikle olasılık × etki ilişkisiyle ifade edilir. Risk değerlendirmesi, sınırlı kaynakların en önemli risklere harcanmasını sağlar ve ISO 27001, NIST CSF ve KVKK gibi çerçevelerin temel beklentilerinden biridir.
Tipik adımlar:
- Varlıkları belirleme: Bilgi, sistem, süreç ve insan.
- Tehdit ve zafiyetleri belirleme: Fidye yazılımı, oltalama, yanlış yapılandırma, kayıp cihaz gibi.
- Mevcut kontrolleri değerlendirme.
- Olasılık ve etkiyi puanlama: Basit bir 1-5 ölçeği çoğu kurum için yeterlidir.
- Risk işleme kararı: Azaltma, kaçınma, aktarma (ör. sigorta) veya kabul etme.
- Risk kaydı: Sonuçların, sahiplerin ve aksiyonların belgelenmesi.
Risk değerlendirmesi tek seferlik değildir; yılda en az bir kez ve önemli değişikliklerde (yeni sistem, birleşme, büyük bir olay) tekrarlanmalıdır. Kabul edilen riskler üst yönetim tarafından onaylanmalıdır.