Analise de risco

O primeiro passo é identificar o risco.
Conhecendo o risco a que se expõem as empresas, fica mais fácil para elas aplicar as soluções de segurança. Se não conhecerem o risco, dificilmente saberão que mecanismos devem aplicar. Assim, a primeira coisa que recomendamos é fazer uma análise dos riscos e classificá-los segundo sua prioridade. Dependerá da prioridade e dos recursos exigidos que os riscos sejam atenuados, eliminados ou assumidos, caso o impacto não seja maior. Sempre há uma faixa dentro da qual tenho um risco que é inaceitável e um risco aceitável; tento ficar em uma faixa no meio, que é a "administração do risco".
Há vários tipos de riscos do ponto de vista tecnológico e outros riscos que não são tecnológicos. Um risco tecnológico, por exemplo, é não ter um servidor bem configurado para ter senhas seguras. Em muitos casos, o servidor aceita uma senha que seja simplesmente 123. Se configurar o servidor de forma a me exigir uma senha que contenha números, letras e símbolos, estou automaticamente aumentando a segurança. O risco é que, se não tenho senhas completas, qualquer pessoa pode acessar documentos, informações confidenciais ou e-mails. Os riscos não-tecnológicos são, por exemplo, a fuga das informações. Isso pode ocorrer no simples fato de botar um papel no cesto de lixo ou falar no celular no elevador, divulgando informações da empresa na frente de outras pessoas. Esse é um risco que tem a ver com processos, e não com tecnologias. As pessoas precisam ter incorporado em sua cultura o tema da segurança, para colocar uma senha segura, não falar no elevador sobre qualquer assunto, não atirar papéis importantes no cesto de lixo.
A análise de riscos depende do escopo do projeto, podendo ser: Tecnológico, Humano, Processos e