L'allocazione del rischio è il modo in cui l'incertezza e la responsabilità sono suddivise tra due parti in un contratto. Nella sicurezza informatica, determina chi sopporta il costo di una violazione, di un'interruzione del servizio, di una perdita di dati, di un mancato rispetto della conformità o di un ritardo nella risposta. Non si tratta solo di un dettaglio legale: influisce sul comportamento in materia di sicurezza, sul budget e sulla pianificazione della risposta agli incidenti. Se un fornitore accetta più rischio, può essere tenuto a fornire controlli più forti, monitoraggio e indennizzi. Se il cliente mantiene più rischio, potrebbe aver bisogno di misure di salvaguardia interne e piani di backup più rigorosi.
In accordi reali di sicurezza informatica, l'allocazione del rischio compare nei contratti cloud, nei termini dei servizi di sicurezza gestiti, nelle licenze software e nelle polizze assicurative. Gli strumenti comuni includono accordi sul livello di servizio, modelli di responsabilità condivisa, clausole di notifica delle violazioni, diritti di audit e limiti di responsabilità. Una ripartizione chiara aiuta a evitare controversie dopo un attacco e rende più facili da applicare gli obblighi di sicurezza. Termini scritti male possono lasciare lacune in cui entrambe le parti presumono che l'altra stia gestendo il pericolo.