Il trattamento del rischio è l'insieme di azioni usate per ridurre, trasferire, accettare o evitare un rischio dopo che è stato identificato e valutato. Nella sicurezza informatica, è il passaggio pratico che trasforma un registro dei rischi in azioni. Un team può ridurre l'esposizione applicando patch ai sistemi, rafforzando le configurazioni, aggiungendo l'autenticazione multifattore o segmentando le reti. Può trasferire parte dell'impatto tramite un'assicurazione o un contratto di servizio gestito. Può accettare un rischio residuo basso quando il costo per correggerlo è superiore al danno probabile, oppure evitarlo chiudendo un servizio o una funzionalità non necessari.
Questo è importante perché molti attacchi hanno successo quando le organizzazioni identificano i rischi ma non implementano mai i controlli. Un buon trattamento del rischio collega le decisioni di sicurezza alle priorità aziendali, alla probabilità delle minacce e all'impatto. Nelle difese reali, revisori e team di sicurezza cercano prove che il trattamento scelto sia stato effettivamente eseguito e che il rischio residuo sia compreso. In pratica, questo significa documentare la decisione, assegnare i responsabili e verificare se il controllo funziona nelle reali condizioni operative.