La divulgazione basata sul rischio è un approccio alla divulgazione delle vulnerabilità che raggruppa e prioritizza le falle in base al danno che è più probabile che causino, non solo in base al loro punteggio di gravità grezzo. Un problema critico su un sistema esposto può richiedere un'attenzione immediata, mentre una falla simile su un servizio strettamente isolato può essere meno urgente. L'obiettivo è aiutare i difensori a concentrarsi per primi su ciò che crea la maggiore esposizione nel mondo reale.
Questo è importante nella sicurezza informatica perché le organizzazioni hanno tempo, personale e finestre di manutenzione limitati. I fornitori e i team di sicurezza usano la divulgazione basata sul rischio per decidere quanto rapidamente pubblicare i dettagli, se rilasciare in anticipo indicazioni parziali e quali correzioni segnalare come prioritarie. In pratica, compare negli avvisi che evidenziano prodotti esposti a Internet, sfruttamento attivo o asset di alto valore prima di risultati meno urgenti. Per i difensori, questo approccio supporta una triage più rapida, una migliore sequenza di applicazione delle patch e una pianificazione operativa più accurata.