La quantificazione del rischio informatico (CRQ) è il processo di stima dell'esposizione informatica in termini finanziari, ad esempio delle potenziali perdite dovute a una violazione o a un'interruzione. Anziché basarsi soltanto su etichette come «alto» o «medio», la CRQ utilizza dati, modelli e ipotesi dichiarate per aiutare a confrontare i rischi e a prendere decisioni sulla spesa per la sicurezza, la correzione delle vulnerabilità o il trasferimento del rischio.
In pratica, la CRQ può avvalersi di metodi strutturati di analisi delle perdite, modelli orientati alle assicurazioni, telemetria di sicurezza o valutazioni esterne. Questi approcci non sono intercambiabili e i risultati dipendono dalla qualità e dall'aggiornamento dei dati utilizzati. Nell'ambito degli attacchi e delle difese, la CRQ può aiutare le organizzazioni a stabilire le priorità tra le debolezze in base all'impatto finanziario stimato, ma inventari incompleti, dati obsoleti sui controlli o ipotesi opache possono rendere fuorvianti le stime. Considerate le cifre risultanti come supporti alle decisioni, non come previsioni precise, e documentate lo scopo del modello, le ipotesi e il ciclo di aggiornamento.