Un cambio di governance è una modifica in chi controlla, esamina ed è responsabile di un processo aziendale. Nella sicurezza informatica, spesso si verifica quando un'organizzazione passa dall'eseguire un tool in proprio al fare affidamento su un servizio cloud, un provider gestito o una piattaforma di automazione. Il rischio tecnico è che il controllo, la verificabilità e il processo decisionale si spostino fuori dal team che in precedenza li gestiva.
Questo è importante perché i fallimenti della sicurezza non sono solo tecnici; sono anche fallimenti di responsabilità. Se un fornitore gestisce la patching, il controllo degli accessi, il rilevamento o la gestione dei dati, i difensori devono sapere chi approva le modifiche, chi può vedere i log e chi interviene quando qualcosa si rompe. Gli attaccanti possono sfruttare cambi di governance deboli tramite integrazioni con privilegi eccessivi, shadow IT o proprietà poco chiara. Difese efficaci usano il privilegio minimo, contratti chiari, registrazione dei log, punti di revisione e piani di uscita, così la responsabilità resta visibile anche quando le operazioni vengono esternalizzate.