Met datagestuurde besluitvorming hebben organisaties tegenwoordig te maken met een steeds veranderende reeks bedreigingen die gevoelige informatie in gevaar kunnen brengen, bedrijfsactiviteiten kunnen verstoren en de reputatie van de moderne geïntegreerde systemen kunnen schaden. Hier komt de beveiligingsrisicobeoordeling om de hoek kijken, omdat deze een systematische aanpak biedt waarmee organisaties deze bedreigingen voor hun digitale infrastructuur methodisch kunnen identificeren, analyseren en beperken. Deze systematische aanpak helpt bij het identificeren van de meest effectieve oplossingen om specifieke risico's tegen te gaan, wat resulteert in gerichte beveiligingsmaatregelen die kritieke activa beschermen.
Beveiligingsrisicobeoordeling was ooit een kwestie van naleving, maar is inmiddels uitgegroeid tot een kernactiviteit die rechtstreeks van invloed is op de veerkracht en continuïteit van een organisatie. In een wereld waarin elke applicatie en elke dienst een nieuw aanvalsoppervlak blootlegt, kan deze strategie beveiligingsteams helpen om te anticiperen op potentiële aanvalsvectoren in plaats van te reageren op incidenten zodra deze zich voordoen. Door een grondige beveiligingsrisicobeoordeling uit te voeren, kunnen organisaties investeren in de juiste beveiligingsgebieden, passende controles toepassen en een sterke beveiligingshouding ontwikkelen in overeenstemming met hun unieke risicoprofiel en bedrijfsdoelstellingen.
Wat is een veiligheidsrisicobeoordeling?
Beveiligingsrisicobeoordeling is een formele, systematische aanpak voor het identificeren, analyseren en evalueren van beveiligingsrisico's voor de informatiesystemen, digitale activa en infrastructuur van een organisatie. Het is een systematische methode om de wisselwerking tussen bedreigingen, kwetsbaarheden en de waarde van activa te analyseren, waardoor een holistisch beeld ontstaat van de totale risicoblootstelling van een organisatie.
Het helpt bij het opsporen van potentiële zwakke plekken in de beveiliging, waarbij wordt gekeken naar de moeilijkheden en de waarschijnlijkheid dat een bedreiger misbruik zou kunnen maken van een kwetsbaarheid, samen met de mogelijke gevolgen van een inbreuk op de beveiliging. Door deze verbanden te begrijpen, kunnen bedrijven prioriteiten stellen bij het aanpakken van bedreigingen, zodat kritieke activa worden versterkt zonder dat er middelen worden verspild. Beveiligingsrisicobeoordeling verandert organisaties van reactieve naar proactieve beveiligingshoudingen, waardoor ze kunnen anticiperen op bedreigingen en deze kunnen beperken voordat ze zich voordoen.
Noodzaak van beveiligingsrisicobeoordeling
Het uitvoeren van een beveiligingsrisicobeoordeling is een manier om de organisatie te beschermen tegen datalekken en beveiligingsincidenten door kwetsbaarheden vast te stellen voordat kwaadwillende actoren hiervan kunnen profiteren. Door potentiële aanvalsvectoren en zwakke punten in systemen op te sporen, kunnen organisaties vervolgens gerichte controles toepassen die de kans op een succesvolle aanval met een redelijke mate van nauwkeurigheid drastisch verminderen.
Het uitvoeren van regelmatige veiligheidsrisicobeoordelingen als onderdeel van de naleving van verschillende industriële voorschriften en normen, waaronder GDPR, HIPAA, PCI DSS en SOC 2. Dit omvat het voorkomen van hoge boetes en reputatieschade door ervoor te zorgen dat ze het vertrouwen van hun klanten en partners hebben en blijk geven van een echte toewijding aan gegevensbescherming.
Voordelen van regelmatige veiligheidsrisicobeoordelingen
Regelmatige veiligheidsrisicobeoordelingen leveren veel voordelen op die verder gaan dan alleen het verbeteren van de veiligheid en een aanzienlijke meerwaarde voor de organisatie opleveren.
Verbeterde beveiligingspositie
Het uitvoeren van consistente beveiligingsrisicobeoordelingen is een uitstekende manier om de algehele beveiligingssituatie van de organisatie te verbeteren en eventuele kwetsbaarheden op te sporen voordat potentiële misbruikers daar gebruik van kunnen maken. Een dergelijke strategie biedt meerdere verdedigingslinies die evoluerende bedreigingen aanpakken en het aanvalsoppervlak voor kwaadwillenden verkleinen.
Weloverwogen besluitvorming
Risicobeoordelingen geven leidinggevenden datagestuurde inzichten die de strategische besluitvorming rond beveiligingsinvesteringen ondersteunen. Met een duidelijk inzicht in de risico's die de kritieke bedrijfsvoering het meest waarschijnlijk beïnvloeden, kunnen leidinggevenden met vertrouwen bepalen waar ze middelen en beveiligingsbudget aan toewijzen.
Naleving van regelgeving
Verschillende sectoren hebben hun eigen wettelijke vereisten, en systematische risicobeoordelingen stellen organisaties in staat om aan die regelgeving te voldoen. Bekende voorbeelden zijn HIPAA voor de gezondheidszorg en PCI DSS voor financiële diensten, waar het hebben van een gedocumenteerd risicobeoordelingsproces blijk geeft van zorgvuldigheid en aandacht voor de bescherming van gevoelige informatie.
Lagere incidentkosten
Regelmatige beveiligingsrisicobeoordelingen bieden niet alleen bescherming tegen directe kosten (waaronder herstelkosten en juridische kosten), maar ook tegen secundaire of indirecte kosten (zoals reputatieschade en bedrijfsonderbrekingen) die voortvloeien uit beveiligingsincidenten.
Verbetering van de operationele veerkracht
Deze risicobeoordelingen maken deel uit van de algehele bedrijfscontinuïteit en operationele veerkracht. Rampenherstelplanning richt zich op de veerkracht van IT-systemen en daarmee van het bedrijf als geheel door middel van analyse van mogelijke onderlinge afhankelijkheden tussen systemen, inzicht in waar storingspunten liggen en het ontwikkelen van responsieve rampenherstelplannen waarmee bedrijfsfuncties ondanks een storing kunnen worden voortgezet.
Belangrijkste componenten van beveiligingsrisicobeoordeling
Een uitgebreid kader voor beveiligingsrisicobeoordeling omvat vijf cruciale elementen die samen een volledig beeld geven van de beveiligingsstatus van een organisatie.
Identificatie van activa
De eerste stap is het identificeren van activa, wat betekent dat er een volledige lijst moet worden opgesteld van alle digitale en fysieke activa die bescherming nodig hebben. Dit omvat hardware, softwaretoepassingen, gegevensopslagplaatsen, intellectueel eigendom en kritieke infrastructuur. Elk activum moet worden gecategoriseerd op basis van het belang ervan voor de bedrijfsactiviteiten en de gevoeligheid van de informatie.
Beoordeling van bedreigingen
Bij de dreigingsbeoordeling gaat het om de potentiële bronnen van schade aan de bedrijfsmiddelen. Dit omvat interne dreigingen (zoals ontevreden werknemers of onzorgvuldig personeel) en externe dreigingen (zoals hackers, concurrenten en nationale actoren). Beveiligingsteams moeten potentiële dreigingsactoren beoordelen op basis van hun capaciteiten, motivaties en patronen van historisch gedrag.
Identificatie van kwetsbaarheden
Identificatie van kwetsbaarheden omvat het opsporen van beveiligingslacunes in systemen, processen en controles die door bedreigingsactoren kunnen worden misbruikt. Dit gebeurt met behulp van technieken zoals geautomatiseerd scannen, penetratietesten, codebeoordelingen en architectuurbeoordelingen, waarmee beveiligingslacunes in de technologiestack kunnen worden opgespoord.
Risicoanalyse
Risicoanalyse is het proces waarbij de informatie die u hebt verzameld over de activa, bedreigingen en kwetsbaarheden wordt samengebracht om inzicht te krijgen in de waarschijnlijkheid en mogelijke impact van verschillende beveiligingsscenario's. Risiconiveaus worden beoordeeld met behulp van kwantitatieve methoden (het toekennen van cijfers aan een risico) of kwalitatieve methoden (het gebruik van descriptoren).
Risicoprioritering
Het proces van risicoprioritering vereist dat de geïdentificeerde risico's worden gerangschikt op basis van hun ernst en impact op de organisatie. Deze cruciale stap helpt beveiligingsteams om hun beperkte middelen eerst te richten op de belangrijkste risico's, waardoor beveiligingsinvesteringen efficiënt worden toegewezen en de effectiviteit van risicobeperkende maatregelen wordt gemaximaliseerd.
Hoe voer je een beveiligingsrisicobeoordeling uit?
Een goede methodologie voor beveiligingsrisicobeoordeling biedt een evenwicht tussen grondigheid en efficiëntie. De volgende stappen bieden een methode waarmee organisaties hun beveiligingsrisico's op een methodische manier kunnen beoordelen.
Bepaal de reikwijdte en doelstellingen van de beoordeling
Bepaal eerst duidelijk welke systemen, applicaties en processen de beoordeling zal omvatten. Definieer duidelijke doelstellingen op basis van zowel zakelijke vereisten als naleving van regelgeving. Deze cruciale stap in de planning leidt tot een gerichte beoordeling die resultaten kan opleveren zonder het bedrijf te lang af te leiden. Documenteer alle beperkingen of restricties die van invloed kunnen zijn op de beoordeling, zoals tijdsbeperkingen, budgetbeperkingen of toegangsbeperkingen tot bepaalde systemen. Beoordeel de grenzen op basis van zakelijke prioriteiten en eventuele nalevingsvereisten.
Identificeer en waardeer activa
Stel een volledige lijst op van alle digitale en fysieke activa die binnen het bereik vallen. Ken aan elk activum een waarde toe op basis van het belang voor de bedrijfsvoering en de mate van gevoeligheid van de informatie die het bevat. Bepaal de waarde van activa op basis van tastbare factoren (bijv. vervangingskosten, inkomsten genereren) en ontastbare factoren (bijv. reputatie, concurrentievoordeel). Pas een standaardclassificatiesysteem toe op basis van het belang van het activum voor de missie van de organisatie.
Herken bedreigingen en kwetsbaarheden
Identificeer systematisch potentiële bedreigingen voor de activa, zowel interne als externe bedreigingen. Identificeer beveiligingslacunes door middel van kwetsbaarheidsscans, penetratietests en architectuurbeoordelingen. Houd rekening met zowel technische zwakke punten in systemen als procedurele zwakke punten in beveiligingsbeleid en werkwijzen van medewerkers. Onderzoek de tactieken, technieken en procedures (TTP's) van vergelijkbare organisaties die het doelwit zijn van tegenstanders in dreigingsinformatie die is afgestemd op uw branche.
Evalueer risico's en impact
Beoordeel op basis van de geïdentificeerde bedreigingen het risico dat zij misbruik maken van de gedetecteerde hiaten en de mogelijke gevolgen daarvan voor de bedrijfsvoering. Deze analyse kan worden gestructureerd met behulp van bekende risicoanalysekaders zoals NIST of ISO 27005. Beoordeel zowel de onmiddellijke gevolgen (financiële verliezen, verstoring van de bedrijfsvoering) als de gevolgen op lange termijn (reputatieschade, boetes van toezichthouders). Gebruik realistische scenario's om te laten zien hoe verschillende risico's zich kunnen voordoen en zich door systemen kunnen verspreiden.
Risicobeheerplan
Stel specifieke werkplannen op om geïdentificeerde risico's aan te pakken, in overeenstemming met de risicotolerantie van de raad van bestuur. Elk risico kan worden toegewezen aan een van de vier benaderingen: accepteren, vermijden, overdragen of beperken. Definieer voor elke herstelmaatregel duidelijke verantwoordelijken, tijdschema's en succesmaatstaven om de verantwoordingsplicht te waarborgen en de voortgang te meten. Gebruik een risicogebaseerde aanpak om prioriteiten te stellen voor herstelmaatregelen, waarbij een evenwicht wordt gevonden tussen de kosten van het invoeren van controles en de potentiële zakelijke impact van beveiligingsincidenten.
Documenteer en rapporteer bevindingen
Het documenteren van het hele beoordelingsproces, de resultaten en de voorgestelde acties is belangrijk en kan op de lange termijn voordelig zijn. Maak meerdere rapportstijlen voor verschillende belanghebbenden, samenvattingen voor het management en diepgaande technische rapporten voor implementatieteams. Zorg voor visuele weergaven van geprioriteerde risiconiveaus en herstelprioriteiten die logisch zijn. Houd gedetailleerde gegevens bij van de beoordelingsmethoden, de gebruikte tools en de gemaakte aannames, zodat de resultaten reproduceerbaar zijn en kunnen worden gebruikt bij toekomstige beoordelingen.
Controles en herstelmaatregelen bedenken
Implementeer het geprioriteerde herstelplan om de kwetsbaarheden te verminderen. Voeg extra beveiligingscontroles toe op basis van de beoordelingsresultaten. Werk tijdens de implementatie nauw samen met beveiligingsteams en bedrijfsonderdelen om de verstoring van de bedrijfsvoering tot een minimum te beperken en tegelijkertijd de beveiliging te verbeteren. Evalueer of nieuwe controles effectief zijn en of ze operationele gevolgen hebben voordat u ze op grotere schaal invoert, door ze eerst afzonderlijk te testen. Creëer terugvalprocessen als de genomen maatregelen verstoringen of conflicten met legacy-systemen veroorzaken.
Veelgebruikte tools voor beveiligingsrisicobeoordelingen
Organisaties gebruiken verschillende speciaal ontwikkelde tools om hun beveiligingsrisico's te beoordelen en belangrijke aspecten van het proces te automatiseren met behulp van consistente beoordelingsmethodologieën.
Kwetsbaarheidsscanners zijn een van de meest basale tools en brengen automatisch beveiligingsfouten in netwerken, systemen en applicaties aan het licht. Deze scanners worden gebruikt om systeemconfiguraties te vergelijken met databases van bekende kwetsbaarheden, waarbij zowel geauthenticeerde als niet-geauthenticeerde systemen worden gescand op verkeerde configuraties, ontbrekende patches en andere beveiligingslacunes. Waar basisscans het aantal valse positieven verhogen, verminderen geavanceerde platforms voor kwetsbaarheidsbeheer dit aantal door bevindingen niet alleen te beoordelen op exploiteerbaarheid, maar ook op potentiële impact en zelfs relevantie voor de betreffende omgeving.
Het GRC-platform is een end-to-end-oplossing voor de gehele risicobeoordelingsstroom. Deze tools helpen groepen om veiligheidsmaatregelen af te stemmen op bedrijfsdoelstellingen en wettelijke vereisten, terwijl ze tegelijkertijd risicobeheerprocessen standaardiseren. GRC-oplossingen bieden doorgaans een modulair risicokader en een scoringsmethodologie die geschikt is voor specifieke sectoren of organisatorische vereisten, en bieden begeleiding bij het inventariseren van activa, het implementeren van controles en het documenteren van compliance.
SIEM helpt bij het verzamelen en correleren van beveiligingsgerelateerde gegevens, niet alleen uit individuele bronnen, maar uit de hele IT-infrastructuur. Identificeer patronen die kunnen duiden op beveiligingsrisico's of aanhoudende aanvallen, geef kritische context aan risicobeoordelingen en help bij het herkennen van beveiligingslacunes. Ze beschikken over feeds met informatie over bedreigingen die kunnen helpen bij het identificeren van dergelijke activiteiten en het verstrekken van informatie over nieuwe bedreigingen die meer dan andere van invloed zijn op de organisatie.
Best practices voor beveiligingsrisicobeoordeling
Door deze beproefde strategieën te implementeren, kunt u de effectiviteit en waarde van het programma voor beveiligingsrisicobeoordeling van een organisatie aanzienlijk verbeteren.
Regelmatig beoordelingsschema
Zorg voor een goed evenwicht tussen grondigheid en kosten bij het tempo van uw veiligheidsrisicobeoordelingen. Beide soorten activiteiten werken goed; de meeste organisaties hebben baat bij jaarlijkse uitgebreide beoordelingen, aangevuld met driemaandelijkse controles van risicovolle systemen of na veranderingen in de omgeving. Leg dit plan vast in beveiligingsbeleid en zorg ervoor dat het in overeenstemming is met wettelijke vereisten en bedrijfscycli.
Betrokkenheid van verschillende afdelingen
Er moeten ook vertegenwoordigers van andere afdelingen dan het beveiligingsteam bij het proces worden betrokken om ervoor te zorgen dat de strategieën voor risico-identificatie en -beheersing praktisch en uitgebreid zijn. Vakdeskundigen (SME's) uit IT-operaties, juridische zaken, compliance, bedrijfsonderdelen en het uitvoerend management voegen hun unieke perspectieven toe aan de beoordeling. Richt een formele risicocommissie op, met duidelijk omschreven verantwoordelijkheden en rapportage, die de risicobeoordeling coördineert en de resultaten beoordeelt.
Kwantitatieve/kwalitatieve analyse
Combineer analytische kwantitatieve metingen met pragmatische kwalitatieve beoordelingen om een volledig risicobeeld te krijgen. Kwantitatieve methoden bieden objectieve indicatoren voor het vergelijken van uiteenlopende risico's en het monitoren van verbeteringen in de loop van de tijd, terwijl kwalitatieve benaderingen genuanceerde factoren benadrukken die met cijfers alleen over het hoofd kunnen worden gezien. Pas gevestigde methodologieën toe, zoals Factor Analysis of Information Risk (FAIR) of het risicobeoordelingskader van NIST, om orde te scheppen in de analyse.
Beoordeling van externe leveranciers
Ga verder dan traditionele risicobeoordeling en betrek ook leveranciers, toeleveranciers en partners die toegang hebben tot uw systemen of gegevens. Beoordeel derde partijen op basis van het kritieke niveau van de geleverde diensten en de gevoeligheid van de informatie waartoe zij toegang hebben, en creëer een gelaagde aanpak. Neem beveiligingsvereisten op in leverancierscontracten en stel clausules op voor het recht op controle voor leveranciers van kritieke diensten.
Documentatie en rapportage
Leg gedetailleerde gegevens vast van beoordelingsmethodologieën, bevindingen, herstelplannen en uitzonderingen in alle fasen van de risicobeheercyclus. Maak consistente rapportagesjablonen die relevante details doorgeven aan verschillende belanghebbenden, uitvoerende overzichten voor het management en technische bevindingen voor implementatieteams. Voeg visuele hulpmiddelen toe, zoals heatmaps, trendgrafieken en vergelijkende studies, om complexe risicogegevens gemakkelijker te interpreteren te maken.
Uitdagingen in verband met beveiligingsrisicobeoordeling
Zelfs goed ontworpen programma's voor beveiligingsrisicobeoordeling worden geconfronteerd met een aantal veelvoorkomende obstakels die organisaties moeten overwinnen om effectieve resultaten te behalen. Laten we er een paar bespreken.
Gebrek aan middelen en beperkt budget
De meeste organisaties vinden het moeilijk om voldoende middelen te besteden aan veiligheidsrisicobeoordelingen, wat resulteert in haastig uitgevoerde beoordelingen of een gebrek aan dekking. Het komt vaak voor dat beveiligingsteams moeten concurreren om budget met andere prioriteiten van het bedrijf, vooral wanneer de waarde van preventieve maatregelen moeilijk te kwantificeren is.
Complex dreigingslandschap
Het cyberbeveiligingslandschap is voortdurend in ontwikkeling, met nieuwe kwetsbaarheden, aanvalstechnieken en dreigingsactoren. Risicobeoordelingen kunnen snel achterhaald zijn, waarbij kwetsbaarheden die voorheen als laag risico werden beschouwd, van de ene op de andere dag hoog risico worden dankzij nieuwe exploits of herprioritering van de doelstellingen van aanvallers.
Evenwicht tussen beveiliging en bedrijfsvoering
Beveiligingsmaatregelen die te restrictief zijn en na risicobeoordelingen worden geïmplementeerd, kunnen bedrijfsprocessen belemmeren en de productiviteit beïnvloeden. Bij overmatige monitoring kunnen bedrijfsonderdelen weerstand bieden tegen beveiligingsteams die zij zien als een belemmering voor hun activiteiten.
Gebrek aan gespecialiseerde expertise
Het goed beoordelen van risico's is een taak die expertise op vele gebieden vereist, waaronder technische kwetsbaarheden, dreigingsinformatie, wettelijke vereisten en technieken voor risicokwantificering. Dit is een van de redenen waarom veel organisaties er niet in slagen een dergelijk divers team samen te stellen en in stand te houden.
Beoordelingsmoeheid
Organisaties die regelmatig beoordelingen uitvoeren, kunnen te maken krijgen met 'beoordelingsmoeheid', waarbij belanghebbenden zich niet meer betrokken voelen bij het proces, minimale input leveren of het beschouwen als een louter afvinkoefening in plaats van een waardevolle beveiligingsactiviteit.
Sectorspecifieke overwegingen bij risicobeoordeling
Verschillende sectoren hebben te maken met unieke beveiligingsuitdagingen en wettelijke vereisten die moeten worden weerspiegeld in hun risicobeoordelingsaanpak.
Financiële diensten
Financiële instellingen zijn onderworpen aan complexe regelgeving, zoals SOX, GLBA en PCI DSS, die bepaalde praktijken voor risicobeoordeling voorschrijven. Bij hun risicobeoordelingen moet rekening worden gehouden met specifieke bedreigingen zoals betalingsfraude, manipulatie van handelssystemen en account-overnames die onmiddellijke financiële schade kunnen veroorzaken. Als reactie hierop moeten financiële organisaties regelmatig beoordelingscycli uitvoeren voor klantgerichte systemen en betalingsverwerkingsinfrastructuur. Bedrijven moeten ook overwegen om tabletop-oefeningen te doen rond scenario's zoals ransomware-aanvallen op transactiesystemen of de aanwezigheid van insider-bedreigingen binnen de handelssystemen.
Gezondheidszorg en biowetenschappen
Gezondheidszorgorganisaties hebben een dubbele verantwoordelijkheid om zowel de gezondheidsinformatie van patiënten onder HIPAA als het intellectuele eigendom (IP) in verband met medisch onderzoek of de ontwikkeling van geneesmiddelen te beschermen. Risicobeoordelingen moeten rekening houden met de unieke bedreigingen die te wijten zijn aan het netwerkachtige karakter van medische apparatuur en klinische systemen die mogelijk verouderde code met bekende kwetsbaarheden gebruiken. Analyseer de beveiligingsmaatregelen rondom de uitwisseling van gezondheidsinformatie en interoperabiliteitsplatforms die gevoelige gegevens tussen organisaties delen. Naast beveiligingsrisicobeoordelingen moet u ook rekening houden met best practices voor gegevensbescherming, zoals privacy-effectbeoordelingen.
Conclusie
Beveiligingsrisicobeoordeling is geëvolueerd van een item op de compliance-checklist naar een cruciale bedrijfsfunctie die organisaties beschermt tegen steeds geavanceerdere cyberdreigingen. Door een systematische aanpak te bieden voor het identificeren van kwetsbaarheden, het beoordelen van mogelijke gevolgen en het nemen van mitigerende maatregelen, kunnen bedrijven hun blootstelling aan datalekken en beveiligingsincidenten verminderen en hun totale beveiligingsinvesteringen verbeteren.
Organisaties die robuuste, doorlopende risicobeoordelingsprogramma's implementeren, behalen concurrentievoordelen door een groter vertrouwen van klanten, operationele veerkracht en naleving van regelgeving
FAQs
Een beveiligingsrisicobeoordeling identificeert kwetsbaarheden in uw digitale omgeving, evalueert potentiële bedreigingen en rangschikt risico's op basis van waarschijnlijkheid en impact, waardoor gerichte beveiligingsinvesteringen mogelijk worden die de bescherming van kritieke activa maximaliseren.
De belangrijkste stappen zijn het definiëren van de reikwijdte, het identificeren van activa, het catalogiseren van bedreigingen en kwetsbaarheden, het analyseren van risico's, het ontwikkelen van responsstrategieën, het implementeren van controles en het opzetten van doorlopende monitoringprocessen.
Organisaties moeten jaarlijks uitgebreide veiligheidsrisicobeoordelingen uitvoeren, met aanvullende gerichte beoordelingen na belangrijke wijzigingen in de infrastructuur, applicaties, bedrijfsprocessen of na grote veiligheidsincidenten.
Hoewel beveiligingsteams doorgaans leiding geven aan het beoordelingsproces, vereisen effectieve risicobeoordelingen een functieoverschrijdende samenwerking tussen IT-operaties, zakelijke belanghebbenden, compliance officers en het uitvoerend management, met duidelijke rollen en verantwoordelijkheden.
Prioriteer risico's op basis van de potentiële impact op het bedrijf, de kans op misbruik en de afstemming op de doelstellingen van de organisatie. Pak vervolgens eerst de items met een hoog risico aan door een combinatie van risicobeperkende maatregelen, risicotransferstrategieën en formeel aanvaarde restrisico's.
Veelgebruikte kaders zijn onder meer NIST SP 800-30, ISO 27005, FAIR (Factor Analysis of Information Risk) en branchespecifieke sjablonen zoals de HHS Security Risk Assessment Tool voor de gezondheidszorg of de FFIEC Cybersecurity Assessment Tool voor financiële instellingen.
Kwetsbaarheidsbeoordeling richt zich uitsluitend op het identificeren van technische zwakke punten in systemen, terwijl beveiligingsrisicobeoordeling een breder proces is waarbij bedreigingen, kwetsbaarheden en gevolgen worden geëvalueerd in de context van bedrijfsactiviteiten en risicotolerantie.
