I controlli a livelli sono un modello di sicurezza graduale in cui le misure di protezione aumentano quando un sistema diventa più capace, più esposto o più rischioso. Invece di applicare la stessa protezione ovunque, le organizzazioni definiscono livelli che attivano requisiti più severi come accessi più restrittivi, maggiore registrazione dei log, test più approfonditi e revisione umana.
Nella sicurezza informatica, questo approccio è importante perché il rischio non è costante. Un modello o servizio a basso rischio può richiedere controlli di base, mentre un sistema ad alto impatto o agentico può richiedere red teaming, audit indipendenti, sandboxing, controllo delle modifiche e pianificazione della risposta agli incidenti. Gli aggressori spesso sfruttano le lacune tra i livelli, quindi le difese devono definire soglie chiare e varchi misurabili. Controlli a livelli ben progettati aiutano a evitare di riporre troppa fiducia in sistemi potenti, ma livelli definiti in modo debole possono trasformarsi in una messa in scena delle policy se i team non riescono a verificare quando è richiesto un livello superiore o se le misure di protezione siano state effettivamente applicate.