Una mappa del rischio è una vista strutturata degli asset, delle esposizioni, delle dipendenze e dei probabili impatti di un'organizzazione. Aiuta i team di sicurezza a confrontare diverse minacce sulla stessa scala, così possono decidere cosa correggere per primo. Una buona mappa del rischio va oltre un semplice inventario: collega sistemi, identità, flussi di dati e dipendenze aziendali o cliniche per mostrare dove una debolezza avrebbe il maggiore impatto.
Nella sicurezza informatica, le mappe del rischio sono essenziali perché gli attaccanti spesso prendono di mira le lacune tra i sistemi, non solo i sistemi stessi. La mancanza di visibilità può nascondere servizi condivisi, percorsi di accesso remoto o dispositivi connessi che ampliano la superficie di attacco. I difensori usano le mappe del rischio per dare priorità a patching, segmentazione, monitoraggio e controlli di accesso. Sono particolarmente utili negli ambienti federati, dove differenze regionali o tecnologie miste possono far apparire la stessa esposizione innocua in un luogo e critica in un altro.