risiko (informasjonssikkerhet)

Risiko henviser innen informasjonssikkerhet på en mulig sikkerhetshendelse som ikke det er ønskelig at inntreffer. Det kan imidlertid være mange ulike sikkerhetstrusler som kan føre til at samme risiko utspiller seg. En risiko vil alltid ha en sannsynlighet og en konsekvens, og risikonivået (ofte kun omtalt som en hendelses risiko) angir forholdet mellom disse to. Det er imidlertid ikke sikkert at disse to størrelsene er kjent, og de er ofte estimater med stor usikkerhet.

En risiko kan altså sies å være sannsynligheten for at en sikkerhetstrussel påfører en av våre verdier en uønsket konsekvens ved å utnytte en sårbarhet. For at det skal være en risiko må sannsynligheten være større enn 0 og mindre enn 1, altså at man vet at det kan skje, men er ikke sikre på at det vil skje.

Selve ordet risiko kan innen informasjonssikkerhet altså både henvise på en teoretisk sikkerhetshendelse (med en kjent eller ukjent sannsynlighet og konsekvens) og på den sannsynlighetsvektede konsekvensen (risikonivået) til en teoretisk sikkerhetshendelse.

Mange benytter begrepet feil, og omtaler risiko som et alternativt begrep for konsekvensen av noe. For eksempel at risikoen for å fly er høyere enn å kjøre bil (da konsekvensen potensielt kan være større). Ser man på den sannsynlighetsvektede konsekvensen (altså risikoen) er det imidlertid vesentlig lavere risiko ved å fly enn å kjøre bil.