¿Cuál de las siguientes estrategias de gestión de riesgos debería adoptar primero una empresa si una aplicación heredada es crítica para las operaciones comerciales y existen controles preventivos que aún no se han implementado?

La mitigación es la estrategia inicial porque implica reducir el riesgo a un nivel aceptable. En este caso, la aplicación es crítica y existen controles preventivos disponibles pero no implementados. Implementar estos controles es una acción de mitigación directa que fortalece la postura de seguridad sin interrumpir las operaciones. Aceptar el riesgo sería inapropiado para una aplicación crítica con controles disponibles. Transferir el riesgo (por ejemplo, mediante seguros) no aborda la vulnerabilidad subyacente. Evitar el riesgo significaría dejar de usar la aplicación, lo cual no es factible si es crítica para el negocio.