I controlli di conformità sono le politiche, i flussi di lavoro e le verifiche tecniche che un sistema utilizza per soddisfare obblighi legali e normativi. Possono includere la verifica dell'identità, le restrizioni di accesso, il controllo delle transazioni, la registrazione dei log, le regole di conservazione e i passaggi di approvazione. Nei programmi di sicurezza, questi controlli non sono solo documentazione: sono applicati da software, configurazioni e sistemi di monitoraggio.
Sono importanti perché controlli deboli o incoerenti possono creare esposizione legale, consentire frodi e rendere più difficili le indagini. Nella sicurezza informatica, i controlli di conformità spesso si manifestano come tracce di audit, governance degli account, tracciabilità dei pagamenti e applicazione delle policy tra i sistemi. Gli attaccanti possono tentare di aggirarli usando identità rubate, creazione automatizzata di account o abuso dei pagamenti, mentre i difensori fanno affidamento su di essi per dimostrare chi ha fatto cosa, rilevare comportamenti anomali e ridurre il rischio. Quando i controlli sono ben progettati, supportano sia la sicurezza sia la responsabilità.