Estrategias de Tratamiento: Mitigar, Transferir, Aceptar, Evitar

Frente a un riesgo identificado, una organización solo tiene cuatro respuestas estratégicas posibles, mitigarlo implementando controles que reduzcan su probabilidad o impacto, transferirlo mediante un seguro cibernético o un contrato que traslade la responsabilidad a un tercero, aceptarlo formalmente cuando su nivel está dentro del apetito de riesgo definido, o evitarlo eliminando la actividad o el sistema que lo genera. Elegir la estrategia correcta no depende solo de la severidad del riesgo, sino también del costo de tratarlo frente al costo de dejarlo tal como está, y de si existe siquiera una forma técnicamente viable de reducirlo. En la práctica, la aceptación del riesgo suele malinterpretarse como no hacer nada, cuando en realidad requiere una decisión formal, documentada y aprobada por alguien con autoridad suficiente, ya que aceptar un riesgo sin ese respaldo formal expone a la organización a que, tras un incidente, no quede claro quién decidió tolerarlo y bajo qué justificación.