Il giudizio esperto è una decisione umana basata sull’esperienza e sul contesto, quando una regola non può essere completamente automatizzata. I controlli di sicurezza possono richiedere un’interpretazione, perché i sistemi, i rischi e le condizioni operative variano. Un revisore può ricorrere alle proprie competenze professionali per decidere se un controllo è efficace in un determinato ambiente.
Nella cybersicurezza, questo giudizio può aiutare a gestire situazioni che una lista di controllo non è in grado di contemplare, ma criteri poco chiari possono rendere incoerenti i risultati. Valutatori diversi possono giungere a conclusioni diverse su sistemi simili, riducendo l’affidabilità di una verifica di garanzia o di conformità. Le organizzazioni possono migliorare la ripetibilità definendo le qualifiche dei valutatori, documentando i criteri decisionali, registrando le prove e le motivazioni e ricorrendo alla revisione tra pari per i rilievi importanti.