Una deroga è un'eccezione formale che rimuove o limita un obbligo normativo specifico a determinate condizioni. Nella sicurezza informatica e nelle infrastrutture critiche, una deroga può esentare un'organizzazione da un controllo, da un sito o da un periodo di tempo, ma non annulla automaticamente altri requisiti legali o tecnici. Il punto chiave è l'ambito: una deroga è più limitata di un'esenzione generale e deve essere interpretata in relazione alla regola esatta che modifica.
Le deroghe sono importanti perché i team di sicurezza possono scambiarle per un'autorizzazione permanente a saltare le protezioni. Ciò crea rischi quando nuove norme informatiche vengono aggiunte a quadri più vecchi di sicurezza fisica, oppure quando i sistemi cambiano e l'eccezione originaria non è più adatta. In pratica, i difensori dovrebbero tenere traccia dei limiti della deroga, documentare ciò che rimane in vigore e verificare se si applicano ancora i controlli di accesso alla rete, monitoraggio, patching o manutenzione remota. Gli aggressori traggono vantaggio quando le organizzazioni suppongono che una vecchia deroga copra i sistemi moderni; i difensori riducono questa lacuna trattando le deroghe come eccezioni limitate, non come sostituti della governance informatica.