La revisione di conformità è un controllo interno per verificare se la condotta di un'azienda corrisponde ai requisiti legali e normativi. Nella sicurezza informatica, ciò significa esaminare policy, impostazioni di sistema, log, informative, gestione dei dati e registri di approvazione per confermare che le operazioni tecniche siano allineate con quanto richiesto dalla legge e dalle promesse dell'azienda stessa.
È importante perché molti problemi di sicurezza diventano problemi legali quando i controlli sono deboli o documentati male. Un prodotto può essere abbastanza sicuro da resistere a un'intrusione ma comunque non superare una revisione di conformità se i controlli di accesso, i flussi di consenso, le regole di conservazione o i registri degli incidenti non soddisfano i requisiti. I difensori usano le revisioni di conformità per individuare le lacune in anticipo, ridurre la responsabilità e dimostrare la dovuta diligenza. Gli aggressori e gli investigatori spesso cercano l'opposto: tracce di audit mancanti, informative incoerenti o violazioni ripetute che suggeriscono che le pratiche reali dell'organizzazione non corrispondano ai controlli dichiarati.