Szacowanie ryzyka

Szacowanie ryzyka to uporządkowany i pełny sposób ustalania, na czym polega ryzyko, z czego wynika oraz jak należy je ocenić. W rozumieniu ustawy „Krajowy system cyberbezpieczeństwa” nie jest to pojedyncza czynność ani intuicyjna ocena sytuacji, lecz proces obejmujący kilka wzajemnie powiązanych etapów. Jego celem jest uzyskanie możliwie całościowego obrazu ryzyka w określonym kontekście cyberbezpieczeństwa.

Proces ten obejmuje przede wszystkim:

• identyfikację ryzyka, czyli rozpoznanie i opisanie tego, co może stanowić zagrożenie lub źródło niepożądanych skutków;
• analizę ryzyka, polegającą na uporządkowanym zbadaniu jego charakteru, przyczyn i możliwych następstw;
• ocenę ryzyka, czyli sformułowanie wniosku o jego znaczeniu na podstawie przeprowadzonych ustaleń.

Określenie „całościowy” wskazuje, że poszczególne etapy powinny być traktowane łącznie. Samo zauważenie zagrożenia nie wyczerpuje szacowania ryzyka, podobnie jak sama ocena, której nie poprzedzono rozpoznaniem i analizą. Dopiero połączenie tych działań pozwala zrozumieć, czego dotyczy ryzyko i jakie znaczenie ma w danej sytuacji.

W ustawie pojęcie to służy opisaniu sposobu rozpoznawania ryzyka związanego z cyberbezpieczeństwem. Ma ono znaczenie praktyczne, ponieważ porządkuje proces podejmowania decyzji dotyczących bezpieczeństwa. Wynik szacowania może pomóc ustalić, które zagrożenia wymagają szczególnej uwagi, jakie obszary wymagają dalszego rozpoznania oraz gdzie potrzebne są odpowiednie działania ograniczające ryzyko. Nie chodzi więc wyłącznie o wskazanie, że ryzyko istnieje, lecz o jego poznanie i ocenę w sposób systematyczny, spójny i możliwy do uzasadnienia. W tym znaczeniu szacowanie ryzyka stanowi narzędzie wspierające zarządzanie cyberbezpieczeństwem oraz porównywanie znaczenia różnych rozpoznanych zagrożeń.