Il rischio ICT è il rischio che guasti, uso improprio o attacchi che riguardano le tecnologie dell'informazione e della comunicazione interrompano le operazioni aziendali. Va oltre il malware: interruzioni dei sistemi, integrazioni non funzionanti, controlli di accesso inadeguati, perdita di dati, configurazioni errate e una gestione delle modifiche debole possono tutti creare rischio ICT.
Nella sicurezza informatica, il rischio ICT è importante perché la maggior parte degli attacchi moderni sfrutta il modo in cui i sistemi sono connessi e gestiti. Un attaccante può rubare credenziali, interrompere i servizi, alterare i log o spostarsi tra applicazioni collegate finché i processi critici non si bloccano. I difensori riducono il rischio ICT con controlli a più livelli come inventario degli asset, gestione delle identità e degli accessi, monitoraggio, backup, separazione dei compiti e test di risposta agli incidenti. Nei settori regolamentati come quello bancario, framework come DORA e BCBS 239 considerano il rischio ICT sia una questione di governance sia una questione tecnica, perché operazioni resilienti dipendono da dati affidabili, responsabilità chiare e modifiche tecnologiche controllate.