Le restrizioni sono regole o limiti che limitano ciò che un utente, un sistema o un processo può fare. Nella sicurezza informatica, sono una parte fondamentale della progettazione dei controlli: regole di accesso, ambiti dei permessi, limiti nella gestione dei dati, blocchi di esecuzione e passaggi di approvazione limitano tutti il comportamento, così che le risorse sensibili non siano esposte per impostazione predefinita.
Le restrizioni sono importanti perché gli aggressori spesso cercano punti in cui i confini sono troppo ampi, incoerenti o facili da aggirare. Restrizioni deboli possono consentire l'esecuzione di malware, permettere a un account di leggere dati che non dovrebbe vedere o consentire a un servizio compromesso di trasferire informazioni fuori da un ambiente protetto. I difensori usano le restrizioni per applicare il privilegio minimo, ridurre il raggio di impatto e mantenere efficace la policy anche quando gli strumenti sono consolidati o automatizzati. In pratica, restrizioni solide dovrebbero essere esplicite, verificabili e allineate alla sensibilità dei dati che proteggono.