Un sistema di gestione certificato è un insieme organizzato di politiche, processi, responsabilità e registrazioni, valutato in modo indipendente rispetto a requisiti definiti, come quelli di una norma ISO. La certificazione indica che il sistema soddisfaceva i criteri di valutazione al momento della verifica; non garantisce che ogni processo venga seguito efficacemente ogni giorno.
In ambito di sicurezza informatica, questi sistemi possono definire come un'organizzazione gestisce i rischi, i controlli degli accessi, la risposta agli incidenti e la conformità. Revisori e clienti possono cercare registrazioni datate, procedure ripetibili e responsabilità chiare, non soltanto un certificato. In caso di attacchi reali, i controlli documentati possono aiutare i team a rispondere in modo coerente e a dimostrare che cosa è accaduto; nell'ambito delle difese, verifiche periodiche e prove tracciabili aiutano a individuare le lacune tra le politiche scritte e la pratica effettiva.