Risk Yönetimi (Risk Management)
Güvenlik risklerini belirleme, değerlendirme ve önceliklendirerek azaltma süreci.
Risk yönetimi↗, kuruma yönelik güvenlik risklerini sistematik biçimde belirleme, değerlendirme, önceliklendirme ve azaltma sürecidir. Çıkış noktası, tüm riskleri sıfırlamanın ne mümkün ne de ekonomik olduğu, dolayısıyla riskleri kabul edilebilir bir düzeye indirmenin hedeflendiği gerçeğidir.
Süreçte önce kurumun değerli varlıkları (veriler, sistemler, hizmetler) belirlenir; ardından bunları tehdit eden unsurlar ve bunlardan yararlanabilecek açıklar değerlendirilir. Her risk, gerçekleşme olasılığı ve olası etkisi birlikte düşünülerek puanlanır; böylece sınırlı kaynaklar en kritik alanlara yönlendirilir.
Belirlenen risklere genellikle dört yanıttan biri verilir: azaltma (önlem alarak riski düşürme), aktarma (örneğin siber sigorta↗ ile devretme), kabullenme (düşük riski olduğu gibi kabul etme) veya kaçınma (riskli faaliyeti tümden bırakma). Risk yönetimi tek seferlik değil, tehditler değiştikçe yinelenen sürekli bir döngüdür.