Identifikation af de største risici: 2 gode råd.

Det næste spørgsmål, der rejser sig er:

“Hvordan identificerer og prioriterer vi de største risici i vores organisation?”

Og det har en læser af Sustainable Compliance spurgt om.

Risikotrekanten

Der er tre elementer i en risiko. En trussel (eksempelvis en hacker eller sur medarbejder) udnytter en sårbarhed (eksempelvis uopdateret software eller dårlige passwords) til at angribe noget, der har værdi for os (omdømme, produktion eksempelvis).

Og netop heri ligger nøglen til at identificere de største risici.

Værdi: Hvad holder ledelsen vågen om natten

Vi bør altid tage udgangspunkt i, hvad der er vigtigt for os.

Marie Bjerre Simonsen fra Wired Relations beskriver det sådan, at nøglen til god risikostyring er at finde ud af:

“hvad der holder din leder vågen om natten.”

Vi ved jo godt, hvilke processer og systemer, der er vigtigst for vores organisation. Hvis kaffemaskinen bliver hacket, skal det hele nok gå, men en fyret medarbejder piller ved et system, så produktionen går i stå en uge - så er det meget værrre.

Derfor er det et godt sted at starte. Få et overblik over, hvilke processer og systemer, der er vigtigst.

Det kræver overblik over systemer og leverandører, og det kan du læse mere om her.

{{factbox-light}}

Truslen: Det er godt med et katalog

Hvem og hvad er du mest bange for? Hackere? Sure medarbejdere? Oversvømmelse?

Truslerne mod virksomhedernes informationssikkerhed er utallige. Derfor finder mange af os inspiration i trusselskataloger, når vi skal identificere og prioritere de væsentligste risici. 

Her er nogle eksempler på trusselskataloger:

• ISO 27005 indeholder et katalog,
• ENISA har en taxonomi
• OCTAVE
• MITRE
• Solove

De forskellige trusselskataloger kan noget forskelligt. Nogle har fokus på privacy og databeskyttelse, andre på cybersikkerhed. Det gode ved dem er inspiration og systematik.

​​{{factbox-dark}}

Det  vigtigste: At komme i gang

Den bedste måde at lære sine risici at kende på er at komme i gang med at udarbejde risikovurderinger. Den første bliver nok ikke særligt god, men når vi arbejder med dem over tid, lærer vi mere og mere om vores største risici.

Så: Kom i gang. Det er det bedste råd.