Gli obblighi di conformità sono i doveri legali o normativi che si applicano a un sistema in base a dove viene utilizzato, da chi viene usato e quali dati o decisioni gestisce. Nel campo della cybersicurezza, questi doveri determinano come un'organizzazione deve proteggere i dati, registrare l'attività, conservare i record, gestire gli accessi, segnalare gli incidenti e documentare i controlli.
Sono importanti perché un sistema tecnicamente sicuro può comunque creare rischi se viola norme sulla privacy, settoriali, di esportazione o di sicurezza. Diverse implementazioni dello stesso strumento possono attivare obblighi diversi, quindi i team devono mappare lo scopo del sistema, la giurisdizione e i flussi di dati prima del rilascio. Gli aggressori spesso sfruttano indirettamente pratiche di conformità deboli, ad esempio attraverso una conservazione inadeguata, la mancanza di tracce di audit o una proprietà poco chiara che nasconde gli abusi. I difensori usano gli obblighi di conformità per definire controlli minimi, dimostrare la responsabilità e supportare gli audit e la risposta agli incidenti. In pratica, la conformità non è solo burocrazia; fa parte del perimetro di sicurezza attorno al sistema.