SPM401 - Phần 5: Quản trị rủi ro — nhận diện, đánh giá và kiểm soát

Khối giữa môn, gộp cả việc nhận diện và đánh giá rủi ro lẫn việc kiểm soát nó. Trong vòng đời phát triển hệ thống an toàn, công việc quản trị rủi ro rơi vào pha phân tích. Khẩu vị rủi ro là lượng và tính chất rủi ro mà tổ chức sẵn sàng nhận khi cân nhắc giữa an toàn tuyệt đối và khả năng truy cập không giới hạn. Bốn chiến lược kiểm soát là phòng vệ, giảm nhẹ, chấp nhận và chuyển giao; việc đào tạo và giáo dục là cách làm thường gặp của chiến lược phòng vệ. Mỗi cặp tài sản thông tin và mối đe doạ phải có tối thiểu một chiến lược kiểm soát được ghi thành văn bản, trong đó nêu rõ phần rủi ro tồn dư còn lại sau khi chiến lược đã chạy. Phân tích có trọng số là công cụ toán học giúp xếp thứ tự chức năng nghiệp vụ nào trọng yếu hơn.