La preparazione normativa è la capacità di soddisfare le norme legali, sulla privacy, sulla sicurezza e di conformità che si applicano alle attività di un'organizzazione. Nella sicurezza informatica, significa più che avere politiche su carta: l'azienda deve essere in grado di dimostrare che i propri controlli, la registrazione dei log, la risposta agli incidenti, la gestione dei dati e le pratiche di conservazione sono in linea con i requisiti di leggi, standard di settore e contratti con i clienti.
Questo è importante perché gli aggressori prendono spesso di mira ambienti con scarsa conformità, in cui i controlli di sicurezza sono incompleti o mal documentati. Una violazione può diventare molto più grave se l'organizzazione non può fornire prove per le verifiche, non può notificare i regolatori in tempo o ha esposto dati in modi che violano le norme locali. I difensori usano la preparazione normativa per ridurre questo rischio mappando gli obblighi, mantenendo tracce di audit, testando i piani di risposta e costruendo processi di sicurezza che possano resistere a un'ispezione. In pratica, la preparazione aiuta a trasformare la sicurezza in qualcosa di misurabile e difendibile.