La conformità solo sulla carta è la situazione in cui i controlli di sicurezza sembrano corretti nelle policy, nei documenti di audit o nelle checklist, ma non funzionano in modo affidabile nella pratica. L'organizzazione può indicare approvazioni, certificati, procedure o formazione, ma il flusso di lavoro reale continua a consentire azioni non sicure.
È importante perché gli aggressori prendono di mira il divario tra il controllo documentato e la realtà operativa. Una casella di posta considerata fidata, un processo di pagamento o una verifica dell'identità possono sembrare conformi sulla carta, ma se il personale può essere indotto con l'inganno ad agire su una richiesta convincente, il controllo ha fallito. Nella sicurezza informatica, la conformità solo sulla carta emerge spesso come passaggi di verifica deboli, procedure non applicate o controlli che dipendono troppo dal giudizio umano. Le difese efficaci verificano se il controllo blocca gli abusi nella pratica: usare una verifica indipendente, applicare il principio del privilegio minimo e convalidare i processi con esercitazioni, audit ed esercizi red team.