Turvallisuusarvioinnissa

Turvallisuusarvioinnissa tarkoitetaan organisaation turvallisuusriskien systemaattista tunnistamista, arviointia ja hallintakeinojen kehittämistä. Se kattaa sekä fyysisen turvallisuuden että tietoturvan, henkilöstöturvallisuuden ja toimintojen jatkuvuuden varmistamisen. Tavoitteena on ymmärtää riskit, määrittää niihin liittyvät toimenpiteet ja tukea päätöksentekoa sekä resurssien kohdentamista.

Prosessin päävaiheet voivat sisältää:

- määrittelyn arvioinnin laajuudesta ja tavoitteista

- tiedon hankinnan kohteesta ja ympäristöstä

- tärkeiden arvokohteiden tunnistamisen

- uhkien ja haavoittuvuuksien kartoituksen

- riskin todennäköisyyden ja vaikutusten arvioinnin

- nykyisten kontrollien arvioinnin ja mahdolliset kehittämistarpeet

- kehittämistoimenpiteiden suunnittelun ja aikataulutuksen

- raportoinnin sekä seurantasuunnitelman laatimisen

Menetelmät turvallisuusarvioinnissa voivat olla sekä laadullisia että määrällisiä. Käytössä voivat olla riskimatriisit, todennäköisyys- ja vaikutusarviot, sekä tekniset tarkastelut kuten auditoinnit ja testaukset. Turvallisuusarvioinnissa noudatetaan usein kansainvälisiä ja alueellisia standardeja sekä vakiintuneita parhaita käytäntöjä, kuten ISO/IEC 27001 informaation turvallisuuden hallinnasta ja ISO 31000 riskienhallinnasta.

Tuloksena syntyy riskikirja, suositukset, prioriteetit sekä seuranta- ja kehittämissuunnitelma. Turvallisuusarviointi tukee organisaation päätöksentekoa, lisää valmiuksia ja toimintavarmuutta sekä luo yhteistä ymmärrystä turvallisuusriskeistä ja niiden hallinnasta.