Biztonságértékelés

A biztonságértékelés olyan strukturált folyamat, amelynek célja egy szervezet vagy projekt védelmi kockázatainak azonosítása, értékelése és a megfelelő kezelési intézkedések meghatározása. A folyamat hozzájárul a döntéshozatalhoz, a működésbiztonság növeléséhez és a sérülékenységek csökkentéséhez. Alkalmazása különösen gyakori az információbiztonság, a fizikai biztonság és a személyi biztonság területén, de kiterjeszthető a teljes üzemeltetési környezetre és az ellátási láncra.

Folyamata általában a következő lépésekből áll: hatókör és kontextus meghatározása; értékelendő eszközök és tulajdonok azonosítása; fenyegetések és sebezhetőségek feltárása; kockázat-elemzés és -értékelés; jelenlegi kontrollok értékelése és hiányainak azonosítása; kockázatkezelési döntések meghozatala (elfogadás, mérséklés, átadás, megszüntetés) és intézkedési terv készítése; kockázatkezelés nyilvántartása és rendszeres felülvizsgálat; monitoring és visszacsatolás.

A módszertanok között szerepelhet kvalitatív és kvantitatív megközelítés, kockázati mátrixok, fenyegetés-modellezés, kontrollok hatásának értékelése, valamint külső megfelelőségi és tesztelési tevékenységek (auditok, penetrációs tesztek). Szabványok közé tartoznak például ISO/IEC 27005 információbiztonsági kockázatmenedzsmentre, ISO 31000 kockázatmenedzsmentre, valamint NIST SP 800-30.

Az eredmény egy kockázati nyilvántartás (risk register), belső jelentések és javasolt intézkedések a maradék kockázat kezelésére. A biztonságértékelés támogatja a költséghatékony védelem kialakítását és a megfelelést, de eredményessége függ az adatok minőségétől, a hatókörtől és a szakértelmétől. Összefoglalóan a biztonságértékelés a rendszerszintű kockázatkezelés része, amely rendszeres felülvizsgálatot és folyamatos fejlesztést igényel.