Un controllo di conformità è una politica, un processo o un controllo tecnico usato per garantire che un'organizzazione rispetti requisiti legali, normativi o contrattuali. Nel campo della cybersecurity, i controlli possono includere revisioni degli accessi, registrazione dei log, regole di conservazione, procedure di gestione dei dati e convalida automatizzata delle informazioni rivolte ai clienti. L'obiettivo non è solo soddisfare gli auditor, ma anche ridurre la probabilità che sistemi, utenti o fornitori creino un'esposizione legale.
I controlli di conformità sono importanti perché molti fallimenti di sicurezza sono anche fallimenti di regole: approvazioni mancanti, informative incomplete, registrazioni carenti o dati non aggiornati possono diventare violazioni anche quando non si verifica alcuna compromissione. Gli attaccanti possono sfruttare ambienti di controllo scadenti tramite frode, abuso di privilegi o flussi di lavoro manomessi. I difensori usano i controlli per individuare presto queste lacune, ad esempio confrontando la policy approvata con l'output effettivo del sistema, richiedendo prove per ogni azione e segnalando le eccezioni. In un processo di vendita regolamentato, un controllo della disponibilità di un indirizzo è un controllo di conformità quando garantisce che il cliente veda il quadro completo e richiesto.