Güvenliğe ne kadar yatırım yapacağınızı - hangi teknolojilere ve ürünlere- belirlemeden önce, organizasyonunuzun ne kadar risk altında olduğunu anlamanız gereklidir. Her internet bağlantılı organizasyon bazı risklerle yüzleşmesine rağmen, elbette ki, riskin seviyesi ve şiddeti büyük ölçüde değişkendir.
Aşağıdaki formülü herhangi bir sistem veya şebeke için güvenlik riskini hesaplamakta kullanabilirsiniz.

RISK = Tehlike x Hassasiyet x Olay Maliyeti

Formüldeki Faktörleri Nasıl Belirleyebiliriz?
Tehlike: Potansiyel güvenlik olaylarının sayısı (saatlik, günlük, aylık gibi) ve belli bir zaman dilimi içerisinde meydana gelen güvenlik olaylarının sıklığıdır.
Hassasiyet: Organizasyonunuza karşı saldırı tehlikesinin başarılı olma ihtimali.
Olay Maliyeti: Güvenlik olayı başına ortaya çıkan "Hard" dolar maliyetleri (hacker saldırıları, virüs veya doğal sorunlara bağlı veri kaynakları, bilgisayar sistemleri, ve uygulamalardaki kayıplar) ile "Soft" dolar maliyetlerinin (verimlilik kayıpları, sorunları çözmek için harcanan emek) toplamı.

Buna bağlı olarak, bütünsel güvenlik riski ayrı ayrı olayların tehlike oranı, hassasiyet ve olay maliyetlerinin çarpımıdır. Sıfırlı çarpılan herşey sıfır olacaktır. Bu yüzden, eğer bu çarpanlardan herhangi birinin sıfır olduğu belirlenebilirse, bu durumda herhangi bir risk yoktur. Elbetteki, organizasyonların büyük bölümü bunu yapamayacak. Bunun yerine, farklı seviye ve kategorilerdeki risklerle günlük bazda uğraşmaları gerekecektir.

Risk Kategorileri
Riskli olduğunuzu belirledikten sonra, risk kategorilerini de belirlemeniz gerekmektedir. Temel olarak altı risk kategorisi bulunmaktadır. Güvenlikle ilgili bilişim uzmanlarının temel düşüncesi bu altı riski tanımlama, yönetme veya bastırmaktır.

Electronik: Bu riskler, "hack" etme, şebeke trafik paketi bilgisayar kaynakla saldırılar veya kötüye kullanımlardan kaynaklanır.
Malware: Virüsler, kurtlar veya trojanlar gibi problemler, "malicious code" olarak da bilinirler.
Fiziksel: Bilgisayar donanımlarının çalınması (laptoplar ya da ramler gibi), veya terminal kapkaççılığı gibi fiziksel kayıplar.
Gizlilik (Privacy): Diğer kategorilere kıyasla önemi sürekli artan bir konu. Gizlilik konusu birinci ve üçüncü kişinin hak ve erişim yetkilerini düzenler.
Downtime: Bilgisayar kaynaklarının insani ya da doğal sebeplerle çalışmaya müsait olmaması sorunlarıdır. DoS (denial of service), güç kesintileri veya doğal felaketler gibi.
İnsan Faktörü: Kontrol etmesi zor olan insan risk faktörleri: Sosyal mühendislik aktiviteleri (şifreler gibi gizli bilgileri elde etmek isteyen "hacker"ler kendilerini gerçekte olmadıkları biri gibi tanıtıp, rol yapabilirler), kötü işe almalar, ekranların üzerinde şifreleri gösteren yapışkan-not kağıtları, omuz üzerinden gözetleme (birinin omuzlarının üstünden bakarak bilgi alma sanatı) gibi.