تعد مرحلة تقييم المخاطر "“Risk Assessment هي اللبنة الأساس والخطوة الأولى لعملية إدارة المخاطر وحماية مصادر المعلومات (Information Assets Protection)، حيث يتم دراسة وفهم مصادر المعلومات في الجهة المعنية ليتم فيما بعد تعريفها وتقييم أهميتها من مقياس أمني، ومن ثم يقوم فريق مختص بتقييم المخاطر بتحديد التهديدات المحتملة (Threats) وتقييم الثغرات الأمنية (Vulnerabilities) المرتبط في هذه المصادر بشكل مباشر ومدى إمكانية استغلالها. الهدف من هذه المرحلة أن يتم الوصول في النهاية إلى تحديد المستوى الحقيقي والفعلي للتهديدات والثغرات على كل مصدر معلومات، مما يساعد الجهات والمؤسسات في تحديد مدى الاحتياج إلى ضوابط وسياسات أمن تتلاءم مع مصادر المعلومات والمساعدة في استبعاد إن أمكن أو التقليل من المخاطر المحتملة
بعد تحديد مصادر المعلومات وأهميتها وأنواع التهديدات المرتبطة بكل مصدر على حدة، يتم مراجعة الثغرات الأمنية (تقنية كانت أم إجرائية أم إدارية). وحتى يتسنى ذلك، فإن هنالك مجموعة من الخطوات والتي يجب أخذها بعين الاعتبار عند تقييم المخاطر لمصادر المعلومات، منها على سبيل المثال لا الحصر:
مراجعة إجراءات إدارة تقنية المعلومات والاتصالات وأقسامها.
مراجعة الهيكل الإداري لتقنية المعلومات.
مراجعة استراتيجية تقنية المعلومات بالجهة المعنية.
مراجعة المعايير لتقنية المعلومات. مراجعة السياسات الآمنة الموجودة حالياً بالجهة المعنية.
مراجعة أنظمة الشبكة.
مراجعة أنظمة تشغيل الخوادم بجميع أنواعها.
مراجعة البرامج والتطبيقات الموجودة بالجهة المعنية حالياً و المستقبلية.
مراجعة إجراءات تطوير البرامج والتطبيقات.
مراجعة الحس الأمني بالجهة المعنية.
مراجعة خطة استمرارية العمل والتماثل من الكوارث إن وجدت.
مراجعة تطبيقات الإنترنت والتأكد من عدم إمكانية اختراقها من داخل الشبكة أو خارجها.
يجب أن تشمل هذه المراجعة النطاق الجغرافي للجهة المعنية على سبيل المثال:
المبنى الرئيسي للجهة المعنية.
فروع الجهة المعنية في مصر أو خارجها.
وأود في النهاية، أن أنوه على أن هنالك بعض الأمور والتي من الممكن أن تجعل من تقيم المخاطر في نظر البعض خدمة لا تعطي الفائدة المرجوة كما هو متوقع. منها على سبيل المثال لا الحصر، الأخطاء البشرية والتي تقود فيما بعد لأخطاء تقنية فادحة، ويمكن تفسير الأخطاء البشرية بمثال عدم اتباع سياسة من سياسات أمن المعلومات أو تنفيذ الإجراءات الأمنية اللازمة قبل وبعد إنشاء أو إضافة مصدر جديد لمصادر المعلومات الحالية، أو عدم شمولية تقييم المخاطر لمصادر تابعة لجهة أخرى ولكنها متصلة بشكل مباشر بمصادر المعلومات الحالية ويمكن أن تشكل بمداها الجغرافي أو التقني تهديداً غير مباشر و ضرراً محتملاً على هذه الجهة، لذلك يجب علينا القيام بتقييم شامل للمخاطر بشكل مستمر وتثقيف الأفراد والعاملين في المنشأة بأهمية أمن المعلومات وتوسيع دائرة الوعي لتشمل جميع الأقسام سواء كانت أقسام تطوير البرامج أو أقسام مسئولة عن إدارة أنظمة مصادر المعلومات، ففي نهاية المطاف يمكن لمهندس أو مستشار أمن المعلومات أن يغطي جميع الجوانب التقنية، ولكن لا يمكنه السيطرة على الأخطاء البشرية إلا بالتوعية والتدقيق ومراقبة مصادر المعلومات وإلزام العاملين بالجهة باتباع السياسات الأمنية الموضوعة مسبقا، الجدير بالذكر أن هنالك شركات استشارية احترافية تقدم خدمات توعية وبرامج تثقيفية بأمن المعلومات وأيضا هناك مراكز تقوم بتقديم أبحاث وبرامج توعية ومؤتمرات أمن المعلومات هدفها زيادة الوعي الأمني وتقوية الجدار الفاصل بين خطر الوقوع تحت تهديد أمني وبيئة أمانة خالية بشكل كبير من الأخطاء الأمنية.
