La governance del rischio informatico è il processo continuo di assegnazione delle responsabilità per le decisioni in materia di sicurezza, revisione dei rischi e dei controlli e aggiornamento delle priorità al mutare delle minacce, dei sistemi e delle esigenze aziendali. Collega le politiche di sicurezza alla supervisione operativa, affinché le decisioni vengano prese, tracciate e riesaminate, anziché restare sulla carta.
Nella sicurezza informatica, la governance aiuta le organizzazioni a individuare lacune nei controlli, chiarire le responsabilità e dimostrare che le misure di protezione sono attuate e funzionano. Può concretizzarsi in revisioni periodiche dei rischi, processi di approvazione ed escalation, test dei controlli e registrazioni che documentano che cosa è stato deciso e perché. Durante un attacco, una governance chiara può favorire decisioni coordinate sulla risposta; nella difesa ordinaria, aiuta a mantenere aggiornate le protezioni e le prove di conformità.