La gestione del rischio informatico è il processo continuo di identificazione delle minacce ai sistemi, ai dati e alle attività di un’organizzazione, valutazione della loro probabilità e del loro impatto e scelta delle misure per ridurle o monitorarle. Collega i controlli tecnici di sicurezza alle priorità aziendali, alle responsabilità e alla supervisione.
Nella pratica, le organizzazioni valutano i rischi che riguardano i sistemi interni e le dipendenze esterne, come i fornitori di tecnologia, e definiscono quindi responsabilità, controlli degli accessi, attività di monitoraggio e processi di revisione. Durante un attacco o un’interruzione del servizio, una chiara attribuzione delle responsabilità in materia di rischio può aiutare i team a stabilire le priorità della risposta e a limitare i danni operativi. Revisioni periodiche aiutano ad adeguare i controlli man mano che cambiano sistemi, fornitori e minacce. La gestione del rischio può ridurre l’esposizione e favorire la conformità, ma non può eliminare il rischio né garantire la sicurezza.