Il GAO, o Government Accountability Office, è un organismo di controllo indipendente del Congresso negli Stati Uniti che esamina i programmi federali, verifica la spesa e valuta il modo in cui le agenzie svolgono le proprie missioni. Nella sicurezza informatica, il GAO è importante perché può valutare se un'agenzia governativa dispone del personale, dei controlli e dei processi necessari per difendere le reti e gestire il rischio.
Le verifiche del GAO non cercano malware né bloccano direttamente le intrusioni. Piuttosto, creano pressione di vigilanza e un quadro fattuale. Nel lavoro reale di difesa informatica, questo può mettere in evidenza lacune nella risposta agli incidenti, nella capacità del personale, negli appalti o nella gestione dei programmi prima che tali debolezze diventino guasti operativi. In caso di attacco o violazione, un rapporto del GAO può aiutare il Congresso e l'opinione pubblica a capire se la postura di sicurezza di un'agenzia sia stata indebolita da una pianificazione scadente, da responsabilità poco chiare o da risorse insufficienti. Questo rende il GAO una parte importante della governance informatica: aiuta a trasformare un rischio organizzativo nascosto in qualcosa che i decisori possono vedere e correggere.