Quản trị rủi ro (Risk management) định nghĩa xem xét lại rủi ro liên quan đến hành động hoặc sự kiện cụ thể. Quản trị rủi ro được dùng cho công nghệ thông tin, dự án, vấn đề an ninh và một số hoạt động khác nơi rủi ro có thể được phân tích dựa trên cơ sở định lượng và định tính.
Rủi ro là một yếu tố của mỗi dự án CNTT và tổ chức kinh doanh. Quản trị rủi ro nên xuất hiện trên cơ sở thường xuyên và được cập nhật để nhận diện đe dọa tiềm năng mới. Quản trị rủi ro chiến lược giúp giảm thiểu xác suất rủi ro và thiệt hại trong tương lai.
Quản trị rủi ro liên quan đến các bước sau:
Xác định Rủi ro (Identify the Risk)
Bước đầu tiên là xác định rủi ro mà doanh nghiệp đối mặt trong môi trường vận hành của nó. Có nhiều loại rủi ro bao gồm rủi ro pháp lý, môi trường, ngành, quy định, v.v. Thiết yếu phải xác định nhiều yếu tố rủi ro càng nhiều càng tốt.
Trong môi trường thủ công, các rủi ro này được ghi chú thủ công. Nếu tổ chức có giải pháp quản trị rủi ro được sử dụng, một số dữ liệu được chèn trực tiếp vào hệ thống.
Lợi ích của phương pháp này là các rủi ro này hiển thị cho mỗi bên liên quan (stakeholder) trong tổ chức với quyền truy cập hệ thống. Thay vì thông tin sống còn này bị khóa trong tài liệu phải yêu cầu qua email, bất kỳ ai cần xem rủi ro nào đã được nhận diện có thể truy cập dữ liệu trong hệ thống quản trị rủi ro.
Phân tích Rủi ro (Analyse the Risks)
Một khi rủi ro được tính toán và xác định, quy trình phân tích rủi ro nên phân tích mỗi rủi ro sẽ xuất hiện, và quyết định hậu quả liên quan đến mỗi rủi ro. Nó cũng quyết định chúng có thể ảnh hưởng như thế nào đến mục tiêu của dự án CNTT.
Khi giải pháp quản trị rủi ro được thực thi, một trong những bước cơ bản thiết yếu là ánh xạ rủi ro đến nhiều tài liệu, chính sách, quy trình và quy trình kinh doanh. Điều này định nghĩa hệ thống sẽ có cấu trúc rủi ro được ánh xạ sẽ tính toán rủi ro và hiểu tác động xa rộng của mỗi rủi ro.
Phát triển Kế hoạch Quản trị Rủi ro (Develop a Risk Management Plan)
Sau phân tích rủi ro hỗ trợ khái niệm về tài sản nào quý giá và đe dọa nào có thể ảnh hưởng tiêu cực đến tài sản CNTT, có thể tạo kế hoạch quản trị rủi ro để tạo ra khuyến nghị kiểm soát có thể dùng để giảm thiểu, chuyển giao, chấp nhận hoặc ngăn chặn rủi ro.
Triển khai Kế hoạch Quản trị Rủi ro (Implement the Risk Management Plan)
Mục tiêu của bước này là thực hiện các biện pháp để loại bỏ hoặc giảm các rủi ro đã phân tích. Có thể loại bỏ hoặc giảm rủi ro bắt đầu từ ưu tiên lớn nhất và giải quyết hoặc ít nhất giảm thiểu mỗi rủi ro để nó không còn là mối đe dọa.
Giám sát Rủi ro (Monitor the Risks)
Bước này chịu trách nhiệm giám sát rủi ro an ninh thường xuyên để nhận diện, xem xét và quản trị rủi ro nên là một phần thiết yếu của bất kỳ quy trình phân tích rủi ro nào.