Herman Darmawi (2006) menyatakan, manajemen risiko adalah suatu usaha untuk mengetahui, menganalisis, serta mengendalikan risiko dalam setiap kegiatan perusahaan atau organisasi, dengan tujuan untuk memperoleh efektivitas dan efisiensi yang lebih tinggi.
Tujuan dari manajemen risiko adalah untuk mengelola risiko Keamanan Informasi yang dihadapi oleh Perangkat Daerah Kabupaten dalam rangka untuk mempersiapkan diri terhadap terjadinya risiko beserta dampaknya.
Perangkat Daerah Kabupaten harus melaksanakan penilaian risiko yang berpengaruh terhadap kegagalan sistem dan operasional Teknologi Informasi terkait dengan aspek Keamanan Informasi yang mencakup aktivitas:
- Identifikasi risiko:
- Mengidentifikasi ancaman, merupakan aktifitas untuk mengidentifikasi ancaman terhadap risiko Keamanan Informasi;
- Ancaman didefinisikan sebagai potensi penyebab insiden yang tidak diinginkan yang dapat menyebabkan kerusakan/kerugian bagi Perangkat Daerah Kabupaten dan sistemnya;
- Sebuah ancaman tidak dapat dikatakan sebuah risiko apabila tanpa kombinasi dengan kelemahan yang dapat dieskplotasi;
- Mengidentifikasi kelemahan dilakukan setelah pengidentifikasian ancaman dilakukan;
- Kelemahan didefinisikan sebagai potensi kekurangan pada proses dan kontrol keamanan yang dapat dieksplotasi oleh satu ancaman atau lebih;
- Mengidentifikasi dampak merupakan aktifitas yang dilakukan untuk mengidentifikasi potensi dampak jika ancaman yang teridentifikasi, mengeksploitasi kelemahan yang ada;
- Risiko harus dialokasikan kepemilik risiko; dan
- Pemilik risiko bertanggung jawab untuk mengelola risiko yang telah teridentifikasi
2. Analisis risiko:
- Menilai dampak potensial yang akan terjadi apabila risiko yang teridentifikasi terwujud;
- Kriteria dampak merupakan parameter untuk menentukan tingkat kerugian terhadap risiko yang terjadi
- Menilai kemungkinan realistis terjadinya risiko yang teridentifikasi; dan
- Kriteria kecenderungan merupakan parameter untuk menentukan tingkat kejadian terhadap Risiko.
- Evaluasi risiko:
1) Membandingkan hasil analisis risiko dengan kriteria risiko yang sudah ditetapkan;
2) Risiko yang masuk dalam kriteria penerimaan risiko akan diterima;
3) Risiko yang tidak masuk dalam kriteria penerimaan risiko perlu mendapatkan penanganan; dan
4) Setiap penanganan risiko harus diberikan prioritas.