Una valutazione del rischio e della resilienza è una revisione strutturata dei sistemi, delle risorse e delle procedure operative di un'organizzazione per individuare le debolezze, classificare le minacce probabili e determinare quali misure di protezione ridurranno maggiormente il rischio. Nella sicurezza informatica, va oltre i difetti del software e include i controlli di identità, l'accesso remoto, la segmentazione della rete, la capacità di backup, il monitoraggio e la pianificazione del ripristino.
Questo è importante perché gli aggressori spesso sfruttano le lacune tra tecnologia e operazioni: credenziali deboli, amministrazione remota esposta, scarsa inventariazione delle risorse o una pianificazione limitata della risposta agli incidenti. Per le infrastrutture critiche, come i servizi idrici e altri ambienti fortemente basati su OT, la valutazione aiuta i difensori a capire dove un'interruzione causerebbe i danni maggiori e quali controlli limiterebbero meglio l'impatto. È anche uno strumento di pianificazione per la resilienza, perché supporta le decisioni su rafforzamento, rilevamento, esercitazioni di risposta e ripristino dopo un'interruzione o un'intrusione.