Prassi aziendale è la routine informale che un'azienda segue davvero nel lavoro quotidiano, anche quando differisce dalle politiche o dalle procedure scritte. Include le scorciatoie, le eccezioni e le abitudini che diventano il modo reale in cui le attività vengono approvate, condivise, archiviate o prese in carico.
Nella cybersecurity, questo è importante perché sia gli attaccanti sia i difensori operano sul processo reale, non su quello ideale. Se il personale aggira regolarmente i passaggi di approvazione, riutilizza eccezioni o condivide dati tramite canali non ufficiali, controlli come la gestione degli accessi, la registrazione e la tracciabilità possono fallire senza essere notati. I team di sicurezza dovrebbero quindi esaminare i flussi di lavoro effettivi, non solo i documenti di policy, per individuare i punti deboli, ridurre le pratiche informali e fare in modo che i controlli corrispondano al comportamento reale.