Una valutazione di terze parti è una revisione indipendente condotta da un esperto esterno o da un'organizzazione esterna per verificare se le affermazioni di sicurezza o protezione di un sistema siano reali. A differenza di un audit interno, ha lo scopo di introdurre scetticismo: il valutatore controlla le prove, ripete i test e cerca lacune che il fornitore potrebbe trascurare o preferire non mettere in evidenza.
Nel campo della sicurezza informatica, le valutazioni di terze parti vengono utilizzate per test di penetrazione, esercitazioni di red team, revisioni di conformità e valutazioni della sicurezza dell'IA. Sono importanti perché i revisori esterni possono convalidare i controlli in condizioni realistiche, scoprire configurazioni errate e mettere in discussione ipotesi deboli sul rischio. Negli attacchi, valutazioni scadenti o troppo guidate da script possono dare un falso senso di fiducia se l'ambito è troppo ristretto o l'accesso è troppo limitato. Nelle difese, valutazioni solide aiutano a decidere se un sistema è sicuro da distribuire, cosa correggere per prima e se ci si possa fidare delle affermazioni pubblicate.