I criteri di sicurezza sono i requisiti misurabili usati per giudicare se un servizio, un sistema o un fornitore è abbastanza sicuro da utilizzare. Possono riguardare l'autenticazione, la crittografia, la registrazione dei log, l'applicazione delle patch, la resilienza, il controllo degli accessi, la gestione dei dati e la governance operativa. Negli acquisti, trasformano promesse vaghe come "sicuro" in condizioni specifiche che possono essere testate e applicate.
Sono importanti perché la sicurezza non riguarda solo la tecnologia, ma anche se il progetto scelto può essere difeso nel tempo. Negli attacchi reali, criteri deboli spesso si manifestano con log mancanti, scarsa segmentazione, responsabilità poco chiare o un fornitore che non può supportare aggiornamenti tempestivi. In difesa, criteri solidi aiutano gli acquirenti a confrontare le opzioni, ridurre la dipendenza dal fornitore e richiedere funzionalità che supportano il monitoraggio, la continuità e la risposta agli incidenti. Per le infrastrutture critiche, i criteri di sicurezza sono una base per scegliere servizi che restino gestibili mentre cambiano le minacce e le esigenze di business.