L'accettazione del rischio è una decisione formale di continuare a far funzionare un sistema pur riconoscendo che permane una certa esposizione alla sicurezza. Non è la stessa cosa che ignorare un problema: l'organizzazione ha valutato il rischio, ha deciso che una rimozione o una correzione immediata non è pratica e ha scelto di convivere con l'esposizione residua per un periodo definito.
Nella sicurezza informatica, l'accettazione del rischio è importante perché spesso compare quando servizi legacy, pressioni di business o scadenze di supporto rendono impossibile una sostituzione immediata. Una piattaforma di posta elettronica come Exchange può rimanere online dopo la fine degli aggiornamenti di sicurezza, ma i difensori dovrebbero accompagnare questa scelta con controlli compensativi come segmentazione, hardening, monitoraggio e un piano di migrazione. Gli aggressori traggono vantaggio quando il rischio viene accettato senza limiti chiari, perché i sistemi non aggiornati o scarsamente isolati diventano bersagli più facili. Una buona accettazione del rischio è documentata, approvata dal responsabile corretto e rivalutata finché l'esposizione sottostante non viene ridotta o eliminata.