Un framework di controllo è un insieme strutturato di pratiche, policy e verifiche di sicurezza utilizzato per gestire il rischio in modo coerente. Offre a un'organizzazione un modo ripetibile per decidere quali controlli sono necessari, come devono operare e come misurare se stanno funzionando. Gli elementi comuni includono controllo degli accessi, registrazione dei log, applicazione delle patch, backup, risposta agli incidenti e processi di revisione.
Nella cyber security, i framework di controllo sono importanti perché trasformano la sicurezza da azioni ad hoc a un programma gestito. I difensori li usano per allineare le misure tecniche di protezione con il rischio aziendale, i requisiti di conformità e la responsabilità. Nelle attacchi reali, le debolezze spesso emergono dove i controlli mancano, sono obsoleti o applicati in modo carente, come nell'autenticazione debole o nei sistemi non monitorati. In difesa, un buon framework aiuta i team a individuare le lacune, dare priorità alle correzioni e dimostrare che le protezioni sono applicate in modo coerente su persone, sistemi e fornitori.