Una lacuna di conformità in materia di cybersicurezza è una carenza tra i controlli di sicurezza richiesti e le misure di protezione che un’organizzazione può dimostrare di aver implementato e documentato. Un controllo può essere assente, applicato in modo discontinuo o presente ma supportato da prove incomplete, come registrazioni che non dimostrano l’esecuzione di verifiche, attività di monitoraggio o interventi correttivi.
Queste lacune sono importanti perché le organizzazioni devono verificare che le protezioni funzionino, non limitarsi ad affermare che esistono. In pratica, le lacune possono emergere durante gli audit o le verifiche normative, oppure quando i team non sono in grado di dimostrare chi è responsabile di un controllo e se viene mantenuto. Per i sistemi che coinvolgono fornitori terzi o strumenti di IA, inventari chiari, registrazioni degli accessi, monitoraggio e responsabili identificabili aiutano a colmare le lacune e a rendere verificabile il livello di sicurezza. Una lacuna di conformità, di per sé, non prova che si sia verificato un attacco informatico o un danno operativo.