Risco residual.

Risco que permanece após a aplicação dos controlos e tratamentos planeados, que a organização deve aceitar, transferir ou continuar a tratar. Pertence à categoria Conformidade e frameworks da cibersegurança.

Risco que permanece após a aplicação dos controlos e tratamentos planeados, que a organização deve aceitar, transferir ou continuar a tratar.

O risco residual é o que sobra do risco inerente depois de os controlos existentes ou planeados reduzirem a probabilidade ou o impacto. É a métrica mais relevante para a tomada de decisão, pois os controlos nunca são perfeitos e as ameaças evoluem. As organizações comparam o risco residual com o apetite e a tolerância: o que ultrapassa estes limites deve ser tratado adicionalmente, escalado ou formalmente aceite com justificação documentada e responsável. É registado no registo de riscos e revisto periodicamente, sobretudo quando falham controlos, mudam ameaças ou surgem novas dependências. Conselhos e reguladores exigem cada vez mais reporte explícito do risco residual.

As defesas contra Risco residual costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.

Nomes alternativos comuns: Risco líquido, Risco pós-controlo.