La documentazione di conformità è l'insieme di registri, log, approvazioni, risultati dei test e mappature delle policy che dimostrano che un sistema rispetta requisiti legali, regolamentari o interni. Nella sicurezza informatica, prova che controlli come la gestione degli accessi, la crittografia, la registrazione dei log, la conservazione dei dati e la risposta agli incidenti non sono solo progettati, ma sono effettivamente in atto e operano come previsto.
Questo è importante perché molti attacchi sfruttano una governance debole tanto quanto un codice debole. Un sistema può essere tecnicamente funzionante ma comunque inutilizzabile se non riesce a soddisfare regole di audit, privacy o residenza dei dati. I difensori usano la documentazione di conformità per supportare le revisioni dei rischi, le valutazioni dei fornitori e gli audit di sicurezza, mentre gli aggressori possono prendere di mira le lacune in cui i controlli vengono dichiarati ma non documentati con evidenze. Una buona documentazione aiuta anche i team a verificare che un modello, un carico di lavoro cloud o un'applicazione possano essere distribuiti in modo sicuro in produzione e difesi dopo un incidente.