Minden információ/IT-biztonsági intézkedés első lépése egy megalapozott kockázatelemzés elkészítése, ezzel lehet meghatározni, hogy melyek azok a kockázatok, amelyek túl magasak a rendszerre/szervezetre nézve és amelyek csökkentésére különböző intézkedéseket kell hozni. A különböző ipari rendszerek kiberbiztonsági kockázatelemzései, hasonlóan az ICS biztonság más területeihez, egy meglehetősen egyedi téma, amiről most Rebekah Mohrtól jelent meg egy rövidebb írás a SANS ICS Security Blog-ján.
Az ipari folyamatokkal kapcsolatban az általános kockázatelemzésnek nagyon komoly múltja és hagyományai vannak és az ezzel foglalkozó szakemberek nagyon jó munkát is végeznek. Problémát a kockázatelemzés szempontjából is az ICS rendszerek információ/IT-biztonsági kockázatelemzése jelent, nem utolsósorban azért, mert a klasszikus ipari kockázatelemzéssel foglalkozó szakemberek jellemzően nem ismerik és nem érint az IT és IT biztonsági kockázatok sajátosságait, az információ/IT-biztonsági kockázatelemzéssel foglalkozó kollégák pedig többnyire nincsenek tisztában az ICS rendszerek sehol máshol nem jelentkező egyedi tulajdonságaival.
Az ipari kockázatelemzések során több kockázatelemzési eszközt is használnak annak érdekében, hogy minél pontosabban tudják meghatározni a működési és emberéletet érintő biztonsági kockázatokat, ilyen többek között a Bow-Tie modell és kockázatelemzési mátrix (Risk Assessment Matrix, RAM), így határozva meg, hogy a maradványkockázatok elfogadhatóan alacsonyak-e (As Low As Reasonably Practicable, ALARP). Ezeket az eszközöket néhány kisebb változtatással az ipari rendszerek kiberbiztonsági kockázatelemzéséhez is hatékonyan lehet használni. Ennek a megoldásnak van egy további előnye, ilyen módon nem az egyes fenyegetések múltbeli előfordulása alapján próbáljuk megbecsülni a bekövetkezés valószínűségét (ahogy ez jellemzően az IT kockázatértékelések során szokott történni), hanem a támadáshoz szükséges erőforrások értékelése alapján. Erről a módszerről szól a SANS Reading Room-ban "Evaluating Cyber Risk in Engineering Environments: A Proposed Framework & Methodology" címmel elérhető útmutató.
