Una roadmap delle capacità è un piano dinamico su come una funzione aziendale maturerà nel tempo dopo che un sistema, un processo o un controllo è stato messo in atto. Nella sicurezza informatica, mappa i passi successivi per una capacità come la gestione delle identità, il logging, la risposta agli incidenti o la gestione delle vulnerabilità, mostrando cosa verrà migliorato, da chi e in quale ordine.
È importante perché la sicurezza non finisce con la distribuzione. Gli aggressori spesso approfittano del divario tra il lancio e il funzionamento a regime, quando la titolarità non è chiara e i team tornano a soluzioni temporanee. Una buona roadmap impedisce questa deriva trasformando la sicurezza in un lavoro continuo di prodotto: può programmare l'estensione dell'MFA, la regolazione del SIEM, i test dei backup, le revisioni dei privilegi o gli aggiornamenti dei runbook di risposta. I difensori usano le roadmap delle capacità per dare priorità alle correzioni, misurare i progressi e mantenere i controlli allineati ai rischi e alle esigenze aziendali in evoluzione.