El riesgo es la posibilidad de que se produzca un impacto dado en un activo, dominio o en toda la organización.

Los datos sobre vulnerabilidad e impacto obtenidas anteriormente, permitirán establecer y estimar el riesgo intrínseco y el riesgo efectivo.

Evaluación del riesgo intrínseco

Realizaremos el cálculo del riesgo de activos sometidos a amenazas sin tener en consideración los mecanismos de salvaguarda que puedan actuar. Este tipo de riesgo intrínseco se toma como referencia para evaluar la efectividad de las salvaguardas a aplicar. El caso más sencillo de cálculo se dará cuando contemos con el impacto cuantificable económicamente y una vulnerabilidad estimable como frecuencia. En ese caso, el riesgo calculado será la suma de costes de reposición del activo a lo largo del año y se podrá comparar, bien con un umbral determinado, bien con el coste también anual de las salvaguardas para reducirlo.

Por ejemplo:

Una impresora  falla cada dos meses y su reparación cuesta 600 euros, el riesgo anual será igual a 3.600 euros (6x600)

Tabla orientativa de valores de riesgo como coste anual:

En los casos más complejos, cuando la vulnerabilidad no se pueda recoger como frecuencia  o el impacto no pueda cuantificarse económicamente, estimaremos la métrica de riesgos con ayuda de la siguiente tabla cualitativa (técnica matricial) :

Análisis de las funciones de salvaguarda existentes

Una función de salvaguarda es una acción (a diferencia de un mecanismo de salvaguarda, que es un procedimiento o dispositivo físico o lógico) de tipo actuación que reduce el riesgo. Dicha actuación se materializa en el correspondiente mecanismo de salvaguarda. Las funciones y mecanismos de salvaguarda se tipifican según su forma de actuación  en:

· Preventivas: Actúan sobre la vulnerabilidad y reducen la potencialidad de la materialización de la amenaza (concienciación, información, formación, disuasión, prevención, control de acceso).

· Curativas: Actúan sobre el impacto y reducen su gravedad (corrección, recuperación, monitorización).

Deberemos identificar las funciones de salvaguardas existentes, indicando la efectividad de éstas.