I registri di valutazione sono documenti interni di sicurezza o di audit che descrivono come un'organizzazione valuta i propri controlli, sistemi o la propria posizione di conformità. Possono includere punteggi di rischio, risultati dei test, note di rimedio e criticità aperte. Poiché riassumono debolezze e priorità, possono essere più sensibili dei normali file aziendali.
Nella sicurezza informatica, i registri di valutazione esposti possono aiutare gli aggressori a identificare servizi deboli, asset non aggiornati, controlli di accesso inadeguati o lacune nel monitoraggio. Nei casi di estorsione, gli attori delle minacce possono affermare di possedere questi registri per aumentare la pressione, mostrando di comprendere la postura di sicurezza della vittima. I difensori dovrebbero proteggerli con un forte controllo degli accessi, crittografia, registrazione degli accessi e limiti di conservazione, e trattarli come dati di alto valore durante la risposta agli incidenti.