Risiko, sårbarhet, trussel, konsekvens og sannsynlighet.
Et felles språk for fare
Tenk deg at to personer skal samarbeide om å sikre en skole, men den ene mener «risiko» betyr noe helt annet enn den andre. Det ville blitt kaos. Derfor finnes det et presist fagspråk i sikkerhetsfaget -- et felles sett med begreper som alle som jobber med sikkerhet, beredskap og samfunnssikkerhet bruker på samme måte.
I dette kapittelet skal du lære de fem begrepene som utgjør selve fundamentet: risiko, trussel, sårbarhet, konsekvens og sannsynlighet. De henger tett sammen, og når du forstår hvordan de spiller mot hverandre, har du verktøyet til å vurdere hvor utsatt en virksomhet eller et samfunn egentlig er. Det handler om å sette ord på usikkerhet -- og ord er overraskende viktige når liv og verdier står på spill.
Risiko er ikke det samme som fare
La oss begynne med en distinksjon som mange roter med. Risiko er kombinasjonen av sannsynligheten for at en uønsket hendelse inntreffer, og konsekvensene dersom den gjør det. Vi skriver det ofte som R = S x K, altså risiko = sannsynlighet ganger konsekvens. Et viktig poeng: lav sannsynlighet og høy konsekvens kan gi samme risikonivå som høy sannsynlighet og lav konsekvens.
Men risiko er ikke det samme som fare. En fare er noe som kan forårsake skade. Risiko er et mål på hvor sannsynlig det er at faren faktisk fører til skade, og hvor alvorlig den blir. Tenk på en motorvei: selve veien er en fare fordi det kan skje ulykker. Men risikoen avhenger av fartsgrense og trafikkmengde (som påvirker sannsynligheten), bruk av bilbelte og airbag (som påvirker konsekvensen), og veistandard (som påvirker begge). Et fotgjengerfelt med trafikklys reduserer risikoen selv om faren -- å krysse veien -- fortsatt er der.
Nå kommer trusselen inn. En trussel er en mulig uønsket handling eller hendelse som kan skade verdier vi vil beskytte. Vi skiller mellom tilsiktede trusler (terror, spionasje, sabotasje) og utilsiktede (naturkatastrofer, systemfeil, menneskelig svikt). De som står bak tilsiktede trusler kalles trusselaktører -- det kan være statlige aktører, kriminelle nettverk, terrorgrupper, innsidere eller enkeltpersoner. I Norge vurderer PST og NSM trusselnivået og utgir årlige trusselvurderinger på en skala fra lavt, via moderat, betydelig og høyt, til ekstremt.
Sårbarhet, konsekvens og sannsynlighet -- og hvordan alt henger sammen
De tre siste begrepene fyller ut bildet. Sårbarhet er manglende evne til å motstå en uønsket hendelse eller til å gjenopprette normal tilstand etterpå. Jo mer sårbart et system er, desto større blir konsekvensene. En bygning uten sprinkleranlegg er sårbar for brann; et IT-system uten oppdateringer er sårbart for dataangrep; et samfunn med bare én vei inn er sårbart for å bli isolert. Det motsatte av sårbarhet er robusthet -- og målet i sikkerhetsfaget er nettopp å redusere sårbarhet og øke robusthet.
Konsekvens er det mulige resultatet av en hendelse, målt i skade på verdier som liv og helse, materielle verdier, miljø, økonomi eller omdømme. Konsekvenser kan være direkte eller indirekte, og graderes gjerne fra ubetydelig til katastrofal. Sannsynlighet er målet på hvor trolig det er at hendelsen inntreffer i en gitt periode -- uttrykt enten kvantitativt (én gang per 100 år) eller kvalitativt (lite sannsynlig, sannsynlig, meget sannsynlig). I risikoanalyser brukes ofte en skala fra 1 til 5.
La oss se hvordan alt spiller sammen i ett eksempel. En skole ligger ved foten av en bratt ås, og det har regnet mye. Trusselen er et jordskred utløst av nedbøren. Sårbarheten er at skolen ligger utsatt til uten barrierer mot skred. Sannsynligheten er høy fordi grunnen er vannmettet -- kanskje 4 av 5. Konsekvensen er katastrofal hvis et skred treffer skolen mens elevene er der -- 5 av 5. Da blir risikoen svært høy: 4 ganger 5 blir 20. En slik verdi tilsier at noe må gjøres umiddelbart, for eksempel evakuering. Slik fyller hvert begrep sin funksjon, og til sammen forteller de oss nøyaktig hvor alvorlig situasjonen er.
Oppsummering
For å arbeide med sikkerhet trenger du et presist felles språk. Risiko er sannsynlighet ganger konsekvens, og må skilles fra fare, som bare er noe som kan skade. En trussel er en mulig uønsket handling -- tilsiktet (terror, sabotasje) eller utilsiktet (naturkatastrofe, systemfeil) -- og bak tilsiktede trusler står trusselaktører.
Sårbarhet er manglende evne til å motstå en hendelse, det motsatte av robusthet. Konsekvens måler skaden på verdier, og sannsynlighet måler hvor trolig hendelsen er. Skole-under-åsen-eksempelet viste hvordan begrepene spiller sammen: trussel og sårbarhet beskriver situasjonen, sannsynlighet og konsekvens tallfester den, og produktet gir risikoen som styrer hvilke tiltak vi setter inn.
Dette kapitlet er skrevet av Anthropics toppmodeller (Claude Opus og Claude Fable) og er foreløpig ikke manuelt gjennomgått — kvalitetskontrollen gjøres av uavhengige KI-agenter, og innmeldte feil rettes fortløpende. Funnet en feil? Meld fra, så retter vi den. Les mer om hvordan innholdet lages.