Gestión de riesgos: identificación, evaluación (cualitativa y cuantitativa), respuesta y marcos de trabajo

La gestión de riesgos es la forma en que una organización decide dónde invertir sus limitados recursos de seguridad. Un riesgo es la probabilidad de que una amenaza explote una vulnerabilidad, combinada con el impacto resultante sobre un activo. Una amenaza es una posible causa de daño, como un grupo criminal, alguien interno o una inundación; el agente o actor de la amenaza es quien o lo que la lleva a cabo. Una vulnerabilidad es una debilidad, como un servidor sin parches o un empleado sin capacitación. La exposición es la susceptibilidad a sufrir una pérdida, y una salvaguarda o contramedida reduce el riesgo. Distinguir bien estos términos es esencial, porque el examen los usa con precisión.