THREAT MODELING AND RISK FORECASTING MODEL

A system and method for determining residual business risks by correlating threats, controls, business continuity factors, and other general risk considerations is described. Requirements of an initiative of a project are mapped to a taxonomy, and the mapped requirements are rated with respect to its importance to the project. Projected changes in the mapped requirements are forecasted over a specified period of time, such as an eighteen month period. A threat to the project is mapped to the taxonomy, and the mapped threat is rated with respect to its impact on the project. Projected changes in the effectiveness of the control are forecasted based upon historical data, a maturity rating, and the rated effectiveness of the control. Residual risk associated with the project is then determined, and adjustments to one or more resources associated with the project may be made to reduce the determined residual risk. L'invention concerne un système et un procédé destinés à déterminer des risques commerciaux résiduels en mettant en corrélation des menaces, des contrôles, des facteurs de continuité des affaires, et d'autres considérations générales de risque. Les exigences d'une initiative d'un projet sont mises en correspondance avec une taxonomie, et les exigences mises en correspondance sont évaluées par rapport à leur importance pour le projet. Les modifications projetées des exigences mises en correspondance sont prévues sur une période spécifiée, telle qu'une période de dix-huit mois. Une menace pour le projet est mise en correspondance avec la taxonomie, et la menace mise en correspondance est évaluée par rapport à son impact sur le projet. Les modifications projetées de l'efficacité du contrôle sont prévues sur la base de données historique, d'une évaluation de maturité, et de l'efficacité évaluée du contrôle. Un risque résiduel associé au projet est ensuite déterminé, et des ajustements d'une ou plusieurs ressources associées au projet peuvent être apportés pour réduire le risque résiduel déterminé.