Un approccio basato sul rischio è un metodo di sicurezza per scegliere le misure di protezione in base a due fattori: quanto è probabile una minaccia e quanto danno potrebbe causare. Invece di applicare gli stessi controlli ovunque, i difensori danno priorità ai sistemi, agli utenti e ai dati che creano la maggiore esposizione. Nel GDPR e in altri framework di conformità, questa è la base per decidere che cosa significhi una protezione "adeguata".
Nella sicurezza informatica, questo approccio viene usato nel controllo degli accessi, nella crittografia, nella registrazione dei log, nella revisione dei fornitori e nella pianificazione della risposta agli incidenti. Ad esempio, dati personali altamente sensibili possono giustificare un'autenticazione più ძლიერი e un monitoraggio più rigoroso rispetto a dati interni di scarso valore. Anche gli aggressori sfruttano una valutazione del rischio debole prendendo di mira risorse trascurate, controlli obsoleti o servizi di terze parti che non sono mai stati rivalutati. Un buon programma basato sul rischio è dinamico: quando cambiano i processi aziendali, i flussi di dati o le minacce, le misure di protezione devono essere riesaminate e adeguate. È importante perché una sicurezza non collegata al rischio reale può sprecare sforzi su controlli di scarso valore lasciando esposte debolezze critiche.