Quản trị rủi ro an ninh thông tin là quy trình liên tục khám phá, sửa chữa và tránh các vấn đề an ninh. Đánh giá rủi ro (Risk assessment) là một phần thiết yếu của quy trình quản trị rủi ro của tổ chức, được thiết kế để hỗ trợ mức độ an ninh thích hợp cho hệ thống và dữ liệu của nó.
Rủi ro về cơ bản là bất cứ điều gì đe dọa hoặc giới hạn khả năng của tổ chức thực hiện sứ mệnh của nó. Quản trị rủi ro nên là một nhóm quy trình liên tục và phát triển được dùng xuyên suốt các phương pháp của tổ chức và nên có phương pháp hệ thống giải quyết một số rủi ro bao quanh hoạt động quá khứ, hiện tại và tương lai.
Các rủi ro an ninh thông tin đối mặt tổ chức sẽ thay đổi với đặc điểm của xử lý được thực hiện bởi tổ chức và độ nhạy cảm của dữ liệu được xử lý. Sự hiểu biết về rủi ro và ứng dụng phương pháp luận đánh giá rủi ro là thiết yếu để có thể hiệu quả và hiệu lực tạo môi trường tính toán an toàn.
Đây là quy trình xác định lỗ hổng và đe dọa đối với tài nguyên dữ liệu được tổ chức dùng trong việc thực hiện mục tiêu kinh doanh, và xác định biện pháp đối phó nào, nếu có, được lấy để giảm rủi ro xuống mức chấp nhận được, dựa trên giá trị của tài nguyên dữ liệu cho tổ chức. Quản trị rủi ro thành công cần sự tham gia của tất cả cấp độ nhân viên của tổ chức.
Một chương trình quản trị rủi ro thành công hỗ trợ tổ chức xem xét toàn bộ phạm vi rủi ro nó đối mặt. Quản trị rủi ro cũng xác định mối quan hệ giữa rủi ro và tác động lan truyền (cascading impact) chúng có thể có trên mục tiêu chiến lược của tổ chức.
Cách tiếp cận toàn diện (holistic) này để xử lý rủi ro được định nghĩa là quản trị rủi ro doanh nghiệp (enterprise risk management - ERM) vì nhấn mạnh vào dự đoán và hiểu rủi ro xuyên suốt tổ chức. Ngoài trọng tâm vào đe dọa nội bộ và bên ngoài, quản trị rủi ro doanh nghiệp (ERM) nhấn mạnh tầm quan trọng của việc xử lý rủi ro tích cực (positive risk).
Rủi ro tích cực là cơ hội có thể tăng giá trị kinh doanh hoặc, ngược lại, làm hỏng tổ chức nếu không nắm bắt. Thực tế, mục tiêu của chương trình quản trị rủi ro không phải loại bỏ tất cả rủi ro mà bảo toàn và tăng giá trị doanh nghiệp bằng cách đưa ra quyết định rủi ro thông minh.
Có ba loại quản trị rủi ro như sau:
- Rủi ro Dự án (Project risks): Quan tâm đến nhiều dạng ngân sách, lịch trình, nhân sự, tài nguyên và vấn đề liên quan người dùng. Rủi ro dự án cơ bản là trượt lịch trình (schedule slippage). Vì phần mềm vô hình, khó giám sát và kiểm soát dự án phần mềm. Khó kiểm soát thứ gì không thể nhận diện. Với chương trình sản xuất, bao gồm sản xuất ô tô, người điều hành kế hoạch có thể thấy sản phẩm thành hình.
- Rủi ro Kỹ thuật (Technical risks): Quan tâm đến vấn đề tiềm năng, triển khai, giao diện, kiểm tra và bảo trì. Nó cũng bao gồm thông số không rõ ràng, không hoàn chỉnh, thay đổi thông số, bất định kỹ thuật và lỗi thời kỹ thuật. Một số rủi ro kỹ thuật xuất hiện do kiến thức không đủ của nhóm phát triển về dự án.
- Rủi ro Kinh doanh (Business risks): Trong rủi ro kinh doanh, liên quan đến rủi ro xây dựng sản phẩm xuất sắc mà không ai cần, mất cam kết ngân sách hoặc nhân sự, v.v.