Dreiging en risico zijn twee concepten die nauw met elkaar verwant zijn, maar ze hebben elk een specifieke betekenis. Een dreiging verwijst naar een potentieel gevaar dat schade kan berokkenen aan een entiteit, systeem of individu. Aan de andere kant, definieert risico de waarschijnlijkheid dat een specifieke dreiging zich manifesteert en de daaruit voortvloeiende schadelijke gevolgen.
Dit verband tussen dreiging en risico kan als volgt wiskundig worden uitgedrukt:
Risico = Waarschijnlijkheid * Gevolg
Hierbij staat 'Waarschijnlijkheid' voor hoe waarschijnlijk het is dat de dreiging werkelijkheid wordt, en 'Gevolg' staat voor de schade of impact van die dreiging.
Ter illustratie: een natuurramp vormt een dreiging voor een bedrijf gevestigd in een gevoelige zone. Hoewel de kans op zo'n ramp niet absoluut is, kan het wel significant zijn. De mogelijke gevolgen van zo'n ramp kunnen enorm zijn, zoals materiële schade aan infrastructuur.
In termen van informatieveiligheid kan een dreiging bijvoorbeeld een cyberaanval zijn zoals malware, phishing of DDoS-acties. Het risico in deze context beschrijft dan hoe waarschijnlijk het is dat zo'n aanval plaatsvindt en wat de potentiële schade aan de data zou zijn.
Het is essentieel voor organisaties om proactieve stappen te ondernemen om de risico's gerelateerd aan deze dreigingen te minimaliseren.
Bronnen voor identificatie van dreigingen
STRIDE
Het STRIDE model is een benadering van Microsoft voor identificatie van dreigingen m.b.t. websites
ISO 27799
Dit is de norm die richtlijnen geeft voor een informatieveiligheid beheerssysteem in de gezondheidszorg
OWASP
Het Open Worldwide Application Security Project (OWASP) is een open source-project rond informatieveiligheid
ISO 27005
Dit zijn de specifieke richtlijnen voor het beheer van informatiebeveiligingsrisico's binnen de 27K internationale norm die richtlijnen geeft voor een informatieveiligheid beheerssysteem
BSI
Het duitse Bundesamt für Sicherheit in der Informationstechnik (BSI) heeft zeer uitgebreide richtlijnen voor informatieveiligheid met o.m. een lijst van 47 basisdreigingen
DBIR
Het Data Breach Investigations Report (DBIR) wordt jaarlijks gepubliceerd door Verizon m.b.t. cybercrime veiligheidsincidenten
CSA
De Cloud Security Alliance (CSA) rapporteert de top dreigingen i.v.m. cloud computing.
ETL
Het ENISA Threat Landscape (ETL) rapport is een jaarlijks rapport van het European Union Agency for Cybersecurity (ENISA) m.b.t. cybersecurity.
NIST wiki
Het National Institute for Standards and Technology (NIST) onderhoudt een wiki-pagina met daarop verschillende catalogi van dreigingen en rapporten van diverse organisaties m.b.t. dreigingen
Ravib
De nederlandse website Risicoanalyse voor informatiebeveiliging (Ravib) biedt een tool voor het uitvoeren van een risicoanalyse voor informatiebeveiliging gekoppeld aan ISO 27001 beheersmaatregelen