Analisis kualitatif: matriks tingkat risiko NIST

NIST SP 800-30 Rev. 1 §2.3.2 mengakui tiga pendekatan. Kuantitatif memakai angka yang maknanya tetap di dalam maupun di luar penilaian, misalnya rupiah, dan paling mendukung analisis biaya-manfaat. Kualitatif memakai kategori tanpa angka — sangat rendah, rendah, sedang, tinggi, sangat tinggi — yang mudah dikomunikasikan, tetapi rentangnya sempit dan dua ahli bisa memberi nilai berbeda bila tiap kategori tidak didefinisikan tertulis. Semi-kuantitatif memakai kelompok, skala, atau angka wakil yang maknanya tidak berlaku di luar penilaian itu; NIST memberi angka 0, 2, 5, 8, dan 10 untuk kelima tingkat.

Lampiran G mendefinisikan tiap tingkat. Untuk kejadian yang bukan serangan, kemungkinan Sedang berarti terjadi 1–10 kali setahun dan Tinggi berarti 10–100 kali setahun. Lampiran I Tabel I-2 lalu menggabungkan tingkat kemungkinan dan tingkat dampak menjadi tingkat risiko dengan tabel acuan, bukan perkalian. Tabel itu tidak simetris: kemungkinan Rendah dengan dampak Sangat tinggi menghasilkan Sedang, sedangkan kemungkinan Sangat tinggi dengan dampak Rendah menghasilkan Rendah.

Di lembar kerja, tabel acuan dua arah dibaca dengan INDEX(matriks, MATCH(kemungkinan, kolom judul baris, 0), MATCH(dampak, baris judul kolom, 0)). Skor perkalian 1–5 ala pedoman British Columbia sudah dilatih di kelas Manajemen Proyek dan Keamanan Siber; di sini cukup diingat bahwa skala mana pun wajib disebut, karena angkanya tidak berlaku di luar skalanya.

Tabel I-2 NIST SP 800-30 Rev. 1 (baris = kemungkinan, kolom = dampak). Contoh pembacaan: kemungkinan Tinggi dan dampak Rendah memberi tingkat Rendah.