Un modello di rischio è un metodo strutturato per stimare quanto sia probabile un evento avverso e quanto gravi potrebbero essere le sue conseguenze. Nella sicurezza informatica, i modelli possono combinare informazioni sulle minacce, sulle vulnerabilità, sui controlli di sicurezza e sulle potenziali perdite per aiutare a confrontare i rischi e orientare le decisioni.
Le organizzazioni utilizzano i modelli di rischio per stabilire le priorità degli interventi correttivi, valutare la spesa per la sicurezza o esprimere in termini finanziari l'esposizione ai rischi informatici. Le stime dipendono dalla qualità e dall'aggiornamento dei dati in ingresso, nonché dalle ipotesi su come vengono misurati gli eventi e le perdite. Inventari incompleti o dati obsoleti sui controlli possono far apparire un risultato più preciso di quanto non sia. Considerate un modello come uno strumento di supporto alle decisioni: comprendetene lo scopo, esaminatene le ipotesi e utilizzate i risultati insieme al giudizio degli esperti.