La selezione dei controlli è la fase della gestione del rischio in cui un'organizzazione trasforma i rischi identificati in misure di sicurezza concrete. Dopo aver valutato minacce, vulnerabilità e impatto sul business, i team decidono quali controlli riducono meglio la probabilità, limitano i danni, rilevano gli abusi o migliorano il ripristino. I controlli tipici includono autenticazione a più fattori, segmentazione di rete, gestione delle patch, registrazione dei log, backup e revisioni degli accessi.
Questa fase è importante perché una valutazione del rischio ha scarso valore se non porta ad azioni efficaci. Una buona selezione dei controlli abbina la misura di sicurezza al rischio: per esempio, un'autenticazione più forte aiuta contro il furto di credenziali, mentre la segmentazione può rallentare i movimenti laterali dopo un'intrusione. Una selezione scadente può sprecare risorse in misure di basso valore o lasciare esposta una criticità senza trattamento. Nei programmi di difesa e nei framework di conformità, la selezione dei controlli dimostra anche che le decisioni di sicurezza sono deliberate, ripetibili e allineate all'ambiente operativo dell'organizzazione.