Đánh giá rủi ro an ninh thông tin là một phần thiết yếu của thực hành quản trị doanh nghiệp giúp xác định, định lượng và ưu tiên rủi ro đối với các yếu tố để chấp nhận rủi ro và mục tiêu liên quan đến tổ chức.
Quản trị rủi ro xác định một quy trình bao gồm xác định, quản lý và loại bỏ hoặc giảm thiểu khả năng xảy ra các sự kiện có thể ảnh hưởng tiêu cực đến tài nguyên của hệ thống thông tin để giảm các rủi ro an ninh có khả năng ảnh hưởng đến hệ thống thông tin, tuân theo giá trị bảo vệ chấp nhận được bao gồm phân tích rủi ro, phân tích tham số "hiệu quả chi phí", và lựa chọn, xây dựng và kiểm tra hệ thống con an ninh, và nghiên cứu tất cả các yếu tố an ninh.
Đánh giá Rủi ro An ninh (SRA) là một đánh giá bao gồm nhận diện các rủi ro trong công ty, công nghệ và quy trình để kiểm tra các biện pháp kiểm soát có được thực hiện để bảo vệ chống lại các mối đe dọa an ninh. Đánh giá rủi ro an ninh thường được yêu cầu bởi các tiêu chuẩn tuân thủ, bao gồm tiêu chuẩn PCI-DSS cho an ninh thẻ thanh toán.
Đánh giá Rủi ro An ninh được thực hiện bởi một người đánh giá an ninh sẽ tính toán tất cả các yếu tố của hệ thống công ty để nhận diện các khu vực rủi ro. Những điều này có thể đơn giản như một hệ thống cho phép mật khẩu yếu, hoặc có thể là các vấn đề phức tạp hơn, bao gồm quy trình kinh doanh không an ninh. Người đánh giá thường sẽ xem xét mọi thứ từ chính sách nhân sự đến cấu hình tường lửa trong khi làm việc để nhận diện các rủi ro tiềm ẩn.
Ví dụ, trong giai đoạn khám phá, người đánh giá sẽ xác định tất cả cơ sở dữ liệu chứa bất kỳ dữ liệu nhạy cảm nào, một tài sản. Cơ sở dữ liệu đó được kết nối với internet, một điểm yếu. Để bảo vệ tài sản đó, cần có một biện pháp kiểm soát, và trong trường hợp này sẽ là tường lửa.
Một Đánh giá Rủi ro An ninh xác định một số tài sản quan trọng, điểm yếu và biện pháp kiểm soát trong công ty để đảm bảo một số rủi ro đã được giảm thiểu đúng cách. Đánh giá Rủi ro An ninh quan trọng trong việc bảo vệ công ty khỏi các rủi ro an ninh.
Một đánh giá rủi ro an ninh cung cấp cho chúng ta bản thiết kế của các rủi ro tồn tại trong môi trường và cung cấp thông tin quan trọng về mức độ nghiêm trọng của từng vấn đề. Việc hiểu nơi bắt đầu khi cải thiện an ninh cho phép chúng ta tối đa hóa tài nguyên và ngân sách CNTT, tiết kiệm thời gian và tiền bạc.
Đánh giá Rủi ro An ninh là sự đi sâu vào tính toán của công ty, hoặc nó có thể là một dự án CNTT xác định hoặc thậm chí một bộ phận công ty. Trong quá trình đánh giá, mục tiêu là tìm ra các vấn đề và lỗ hổng an ninh trước khi kẻ xấu làm điều đó.
Quy trình đánh giá phải xem xét và kiểm tra hệ thống và con người, tìm kiếm điểm yếu. Khi chúng được khám phá, chúng được xếp hạng dựa trên mức độ rủi ro lớn đến công ty. Tài liệu kết quả sẽ xác định các hệ thống đang hoạt động tốt và được bảo vệ đúng cách, và những hệ thống có vấn đề. Một đánh giá rủi ro an ninh thường có kết quả kỹ thuật xác định, chẳng hạn như kết quả quét mạng hoặc kết quả cấu hình tường lửa.