การประเมินความเสี่ยงด้านความปลอดภัยข้อมูลเป็นส่วนสำคัญของแนวปฏิบัติการจัดการองค์กร ที่ช่วยระบุ จัดลำดับความสำคัญ และวัดระดับความเสี่ยงต่อองค์ประกอบเพื่อการยอมรับความเสี่ยงและเป้าหมายที่เกี่ยวข้องกับองค์กร
การจัดการความเสี่ยงนิยามถึงกระบวนการที่รวมถึงการระบุ การจัดการ และการกำจัดหรือลดความน่าจะเป็นของเหตุการณ์ที่อาจส่งผลกระทบเชิงลบต่อทรัพยากรของระบบสารสนเทศ เพื่อลดความเสี่ยงด้านความปลอดภัยที่อาจมีความสามารถในการส่งผลต่อระบบสารสนเทศ ภายใต้มูลค่าการป้องกันที่ยอมรับได้ ซึ่งรวมถึงการวิเคราะห์ความเสี่ยง การวิเคราะห์พารามิเตอร์ "ต้นทุน-ประสิทธิภาพ" การเลือก สร้าง และทดสอบระบบย่อยด้านความปลอดภัย และการศึกษาทุกองค์ประกอบของความปลอดภัย
การประเมินความเสี่ยงด้านความปลอดภัย (Security Risk Assessment - SRA) เป็นการประเมินที่ประกอบด้วยการระบุความเสี่ยงในองค์กร เทคโนโลยี และกระบวนการ เพื่อตรวจสอบว่ามีมาตรการควบคุมที่ป้องกันภัยคุกคามด้านความปลอดภัยอยู่แล้ว การประเมินความเสี่ยงด้านความปลอดภัยโดยทั่วไปถูกกำหนดโดยมาตรฐานการปฏิบัติตาม รวมถึงมาตรฐาน PCI-DSS สำหรับความปลอดภัยบัตรชำระเงิน
การประเมินความเสี่ยงด้านความปลอดภัยดำเนินการโดยผู้ประเมินความปลอดภัย ซึ่งจะประเมินทุกด้านของระบบของบริษัทเพื่อระบุพื้นที่ความเสี่ยง สิ่งเหล่านี้อาจง่ายถึงระดับระบบที่อนุญาตให้ใช้รหัสผ่านอ่อนแอ หรือซับซ้อนมากขึ้น รวมถึงปัญหาที่ซับซ้อน เช่น กระบวนการทางธุรกิจที่ไม่ปลอดภัย ผู้ประเมินโดยทั่วไปจะตรวจสอบทุกอย่างจากนโยบายทรัพยากรบุคคลไปจนถึงการกำหนดค่าไฟร์วอลล์ ขณะทำงานเพื่อระบุความเสี่ยงที่เป็นไปได้
ตัวอย่างเช่น ในขั้นตอนการค้นพบ ผู้ประเมินจะระบุฐานข้อมูลทั้งหมดที่มีข้อมูลละเอียดอ่อน任何形式 นั่นคือทรัพยากร ฐานข้อมูลนั้นเชื่อมต่อกับอินเทอร์เน็ต นั่นคือจุดอ่อน เพื่อปกป้องทรัพยากรนั้น จำเป็นต้องมีมาตรการควบคุมอยู่ และในกรณีนี้จะเป็นไฟร์วอลล์
การประเมินความเสี่ยงด้านความปลอดภัยระบุทรัพยากรสำคัญ จุดอ่อน และมาตรการควบคุมในบริษัท เพื่อให้แน่ใจว่าความเสี่ยงบางส่วนได้รับการบรรเทาอย่างเหมาะสม การประเมินความเสี่ยงด้านความปลอดภัยมีความสำคัญในการปกป้องบริษัทจากความเสี่ยงด้านความปลอดภัย
การประเมินความเสี่ยงด้านความปลอดภัยให้แผนผังของความเสี่ยงที่มีอยู่ในสภาพแวดล้อม และให้ข้อมูลสำคัญเกี่ยวกับว่าแต่ละปัญหาสำคัญเพียงใด การเข้าใจว่าจะเริ่มต้นที่ไหนเมื่อปรับปรุงความปลอดภัย ช่วยให้เราเพิ่มประสิทธิภาพทรัพยากรและงบประมาณไอที ประหยัดเวลาและเงิน
การประเมินความเสี่ยงด้านความปลอดภัยเป็นการสำรวจลึกของบริษัท หรืออาจเป็นโครงการไอทีเฉพาะเจาะจง หรือแม้แต่งานแผนกของบริษัท ระหว่างการประเมิน เป้าหมายคือการค้นหาปัญหาและช่องโหว่ด้านความปลอดภัยก่อนที่ผู้ร้ายจะค้นพบ
กระบวนการประเมินต้องตรวจสอบและทดสอบระบบและผู้คน ค้นหาจุดอ่อน เมื่อค้นพบแล้ว จะจัดอันดับตามระดับความเสี่ยงต่อบริษัท เอกสารที่ได้จะระบุระบบที่ทำงานดีและได้รับการป้องกันอย่างเหมาะสม และระบบที่มีปัญหา การประเมินความเสี่ยงด้านความปลอดภัยโดยทั่วไปจะมีผลลัพธ์ทางเทคนิคที่เฉพาะเจาะจง เช่น ผลการสแกนเครือข่าย หรือผลการกำหนดค่าไฟร์วอลล์
