La valutazione delle politiche è il processo di accertamento se una regola, un programma o un controllo stia raggiungendo i risultati previsti. Nella sicurezza informatica, ciò ნიშნავს guardare oltre il fatto che una politica esista sulla carta e chiedersi se riduca davvero il rischio, migliori il rilevamento o cambi il comportamento degli utenti. Ad esempio, una politica sulle password dovrebbe essere valutata in base al fatto che riduca le compromissioni degli account, non solo al fatto che ai dipendenti sia stato detto di seguirla.
Questo è importante perché molti fallimenti della sicurezza si verificano quando le organizzazioni misurano l'attività invece dell'esito. Un'azienda può registrare che le patch sono state approvate, che la formazione è stata erogata o che le revisioni degli accessi sono state completate, ma lasciare comunque i sistemi esposti se la politica è progettata male o applicata debolmente. Una valutazione efficace delle politiche usa evidenze come le tendenze degli incidenti, i risultati degli audit, i tempi di risposta e i guasti dei controlli per decidere cosa mantenere, correggere o sostituire. In difesa, aiuta i team a tarare i controlli di sicurezza; negli attacchi, una valutazione debole spesso lascia pericolose lacune nascoste dietro le checklist di conformità.