Una valutazione della cybersicurezza è una revisione strutturata di un ambiente, un'organizzazione o un sistema per identificare rischio, lacune, controlli esistenti e livello complessivo di preparazione. Può includere interviste, controlli della configurazione, revisione delle policy, inventario degli asset, scansione delle vulnerabilità e convalida delle capacità di risposta agli incidenti o di ripristino.
Le valutazioni sono importanti perché la sicurezza non è dimostrata solo dagli strumenti; deve anche essere misurata, documentata e confrontata con una baseline o un requisito. In pratica, gli aggressori sfruttano le debolezze che queste revisioni servono a individuare, come patch mancanti, controllo degli accessi debole, logging insufficiente o backup non testati. I difensori usano le valutazioni per dare priorità alle correzioni, supportare la conformità e dimostrare a regolatori o partner che i controlli non sono solo installati, ma funzionano. Nelle infrastrutture critiche, una valutazione della cybersicurezza spesso indica come gli operatori dimostrano la preparazione cyber e mantengono le evidenze per audit, reportistica e supervisione.