Un gap di controllo è la distanza tra la sicurezza che un'organizzazione intende avere e la protezione che effettivamente mette in opera. Si manifesta quando politiche, procedure, strumenti tecnici o comportamenti del personale non corrispondono pienamente ai requisiti di sicurezza dichiarati.
Nella sicurezza informatica, i gap di controllo sono importanti perché gli aggressori sfruttano la differenza tra le difese "sulla carta" e l'esecuzione nel mondo reale. Ad esempio, un'azienda può richiedere l'autenticazione multifattoriale, ma se non viene applicata a tutti gli account, una password rubata può comunque portare a una compromissione. Gap simili possono esistere nella gestione delle patch, nella registrazione dei log, nelle revisioni degli accessi, nella risposta agli incidenti o nei test dei backup. I difensori individuano i gap di controllo confrontando la policy con la configurazione, convalidando i controlli tramite audit e test e misurando se i risultati di sicurezza corrispondono allo standard. Ridurre questi gap diminuisce l'esposizione e rende più probabile l'allineamento tra conformità, resilienza e aspettative assicurative.