La copertura dei controlli è la quota di sistemi, utenti, dati e processi aziendali che sono effettivamente protetti da un controllo di sicurezza. Un controllo può esistere sulla carta, ma la sua copertura è reale solo se è distribuito, abilitato e funzionante ovunque dovrebbe esserlo. Per esempio, uno strumento per endpoint che non rileva i laptop dei consulenti, una policy di patch che esclude i server legacy o l'MFA applicata solo ad alcuni account privilegiati creano tutti lacune nella copertura.
È importante perché gli aggressori cercano il lato non protetto di un ambiente altrimenti solido. Una copertura limitata può lasciare un dispositivo non monitorato, un'identità non gestita o un flusso di lavoro esposto come punto di ingresso per phishing, malware o movimento laterale. I difensori misurano la copertura dei controlli per individuare le eccezioni, confermare l'applicazione e dare priorità alle correzioni. Nei report al board, una copertura bassa può far sembrare un programma di sicurezza più forte di quanto sia realmente, quindi una buona assurance dipende da evidenze provenienti da inventario, telemetria e tracciamento delle eccezioni.