L'approvazione normativa è un permesso formale da parte di un ente governativo o di un'altra autorità per gestire un sistema secondo regole specifiche. Nella sicurezza informatica, è importante perché molte tecnologie non possono essere distribuite, aggiornate o ampliate finché non soddisfano i requisiti legali, di sicurezza e di controllo. L'approvazione dipende di solito da prove come risultati di test, valutazioni del rischio, registrazione dei log, controlli di accesso e procedure di risposta agli incidenti.
Gli aggressori spesso prendono di mira il divario tra un sistema funzionante e uno approvato. Un prodotto può essere sicuro in laboratorio ma comunque non superare la revisione se il monitoraggio è debole, se la sua supply chain non è chiara o se la gestione dei dati non soddisfa la policy. I difensori usano i processi di approvazione come controllo di sicurezza: impongono documentazione, revisione indipendente e gestione delle modifiche. In pratica, l'approvazione normativa fa parte della catena di fiducia che aiuta a dimostrare che un servizio è abbastanza sicuro da essere eseguito su larga scala.