Mitigar el riesgo

Respuesta: No estoy seguro si he entendido bien tu pregunta, pero el riesgo puede ser cualitativo o cuantitativo, y lo puedes mitigar en ambos casos (y demostrarlo a un auditor, implementando controles de seguridad), porque con ambos estás usando una escala de riesgo, y puedes decidir cuál es el nivel de riesgo aceptable. Así que, por ejemplo, si tu nivel de riesgo aceptable es Medio, e identificas un riesgo Alto, tienes que tratarlo (implementando controles de seguridad). Y el auditor podrá preguntarte: ¿Cuál es tu nivel de riesgo aceptable? o ¿Por qué estás tratando el riesgo alto?

Este artículo puede ser interesante para ti “Qualitative vs. quantitative risk assessments in information security: Differences and similarities” : https://advisera.com/27001academy/blog/2017/03/06/qualitative-vs-quantitative-risk-assessments-in-information-security/

Por último, recuerda que tienes 4 opciones de mitigación, para más información, por favor, lee este artíc ulo “4 mitigation options in risk treatment according to ISO 27001” : https://advisera.com/27001academy/blog/2016/05/16/4-mitigation-options-risk-treatment-according-iso-27001/