Un registro di accettazione del rischio è una documentazione formale che attesta che la dirigenza ha approvato un rischio di sicurezza noto invece di correggerlo immediatamente. In genere indica la descrizione del rischio, il motivo dell'accettazione, il responsabile, eventuali controlli compensativi e una data di scadenza o di revisione. In pratica, è la traccia documentale che dimostra che l'organizzazione ha preso una decisione consapevole, non che si sia trattato di una svista o di un'omissione.
Questo è importante nella sicurezza informatica perché molti ambienti contengono rischi che non possono essere eliminati rapidamente, come sistemi legacy, ritardi nelle patch o eccezioni critiche per il business. Durante gli incidenti e le verifiche, gli aggressori possono sfruttare queste lacune e i difensori devono dimostrare se l'esposizione era compresa e gestita. Un buon registro aiuta la risposta agli incidenti, la governance e la rendicontazione normativa mostrando chi ha accettato il rischio, quali controlli lo hanno ridotto e quando deve essere rivalutato. Senza di esso, una debolezza nota può sembrare negligenza anziché un'esposizione controllata.