I controlli basati sul rischio sono misure di sicurezza scelte per adattarsi alla sensibilità dell'asset, ai probabili percorsi di attacco e all'impatto nel caso in cui qualcosa vada storto. Invece di applicare le stesse protezioni ovunque, i difensori rafforzano le salvaguardie dove le conseguenze sono maggiori e mantengono controlli più leggeri dove l'esposizione è minore.
Questo è importante perché la sicurezza informatica riguarda la riduzione del danno reale, non solo il rispetto formale dei requisiti. In pratica, i controlli basati sul rischio possono significare autenticazione più forte, limiti di accesso più severi, sandboxing, registrazione dei log, passaggi di approvazione o segmentazione della rete per i sistemi che gestiscono dati critici o possono modificare i servizi di produzione. Gli attaccanti spesso prendono di mira il punto più debole, troppo protetto o poco protetto, quindi allineare i controlli al rischio aiuta a chiudere le lacune più pericolose senza rallentare tutto il resto. Nelle implementazioni di agenti di IA, ad esempio, un semplice chatbot può richiedere un filtraggio di base, mentre un agente con accesso alle API e ai file può necessitare del privilegio minimo, dell'approvazione umana e di un monitoraggio continuo.