Un'area controllata è uno spazio fisico protetto in cui l'accesso è limitato, monitorato e spesso registrato per ridurre gli accessi non autorizzati. Nei programmi di sicurezza, questo può includere uffici, sale riunioni, laboratori, sale server e qualsiasi luogo in cui vengono gestite conversazioni, dispositivi o documenti sensibili. Un lettore di badge, regole per l'accompagnamento dei visitatori, copertura da telecamere e controlli periodici delle stanze sono controlli comuni.
Le aree controllate sono importanti perché molti incidenti informatici iniziano al di fuori della rete. Se un attaccante, un insider, un appaltatore o un visitatore non verificato può entrare in una stanza sensibile, potrebbe collocare un registratore nascosto, fotografare i display, collegarsi alle apparecchiature AV oppure osservare credenziali e documenti. Un forte controllo fisico aiuta a difendere la riservatezza quando le protezioni software non bastano. Una buona prassi include l'approvazione dell'accesso, la registrazione degli accessi, l'ingresso con privilegio minimo, controlli regolari alla ricerca di hardware sconosciuto e regole chiare per le riunioni che coinvolgono materiale sensibile.