L'overhead di conformità è il lavoro extra che un'organizzazione deve svolgere per soddisfare diversi requisiti legali, normativi o amministrativi. In pratica, questo può significare passaggi di approvazione separati, reporting, controlli di identità, log di audit, regole di conservazione dei dati o controlli di consegna specifici per regione. Più giurisdizioni o livelli di policy sono coinvolti, più tempo e costi servono per rimanere conformi.
Nella sicurezza informatica, l'overhead di conformità è importante perché influisce sul modo in cui i sistemi vengono costruiti e utilizzati in sicurezza. I difensori spesso devono bilanciare controllo e usabilità: se l'accesso legittimo è troppo complicato, gli utenti possono aggirare i canali approvati o scegliere servizi meno affidabili. Gli aggressori possono sfruttare questa frizione fingendosi alternative più semplici, effettuando phishing verso utenti confusi dai reali requisiti o colpendo i punti deboli di flussi di lavoro frammentati. Un buon design della sicurezza riduce l'overhead di conformità automatizzando i controlli, standardizzando le policy e rendendo i percorsi autorizzati chiari e prevedibili.