Un'obbligazione di mezzi è il dovere di adottare misure ragionevoli e proporzionate verso un risultato, senza promettere che il risultato venga sempre raggiunto. Nella sicurezza informatica, ciò significa che ci si aspetta che un'organizzazione progetti, applichi e riesamini adeguate misure di protezione, ma non che garantisca che non si verificherà mai alcuna violazione.
Questo concetto è importante perché molte norme di sicurezza e privacy valutano l'impegno, non la perfezione. In base a framework come l'articolo 24 del GDPR, i difensori possono dover mostrare valutazioni del rischio, controllo degli accessi, patching, logging, supervisione dei fornitori e piani di risposta agli incidenti come prova che le loro misure erano adeguate al modello di minaccia. Gli attaccanti sfruttano le lacune quando questi sforzi sono deboli o mal documentati. I difensori rafforzano la propria posizione potendo spiegare perché sono stati scelti controlli specifici, come sono stati mantenuti e in che modo corrispondevano alla sensibilità dei dati e all'esposizione del sistema.