Una valutazione del rischio informatico è una revisione strutturata delle minacce, delle vulnerabilità e degli impatti sul business che interessano i sistemi e i dati di un'organizzazione. Combina elementi tecnici, come servizi esposti, autenticazione debole, software non aggiornato e dipendenze di terze parti, con domande operative come quali servizi sono critici e per quanto tempo possono rimanere non disponibili.
Questo è importante perché i team di sicurezza non possono difendere tutto contemporaneamente. Una buona valutazione aiuta a stabilire le priorità di controlli, investimenti e piani di risposta in base a ciò che è più probabile venga attaccato e a ciò che danneggerebbe di più l'azienda. Negli attacchi reali, le stesse debolezze individuate in una valutazione possono essere usate per phishing, ransomware, acquisizione di account o compromissione della catena di fornitura. In difesa, la valutazione orienta le attività di patching, monitoraggio, segmentazione, strategia di backup e pianificazione della continuità operativa. Anche i regolatori la usano per verificare se un'azienda può dimostrare non solo di avere controlli, ma anche di comprendere e gestire la propria esposizione informatica.