Un amministratore di sistema scopre un sistema che non riceve più supporto dal fornitore. Tuttavia, questo sistema e il suo ambiente sono critici per il funzionamento dell'azienda, non possono essere modificati e devono rimanere online. Quale dei seguenti trattamenti del rischio è il più appropriato in questa situazione?

La risposta corretta è "Accettare". In questa situazione, il sistema è critico, non può essere modificato e deve rimanere online, nonostante non sia più supportato. L'azienda non può evitare il rischio (non può spegnere il sistema), trasferirlo (non c'è un'assicurazione o un terzo che possa assumersi il rischio operativo di un sistema non supportato) o rifiutarlo (non è un rischio che può essere semplicemente ignorato o eliminato senza conseguenze). Pertanto, l'unica opzione praticabile è accettare il rischio, implementando potenzialmente controlli compensativi per mitigare le vulnerabilità note, ma riconoscendo che il rischio residuo rimarrà.