La responsabilità è un obbligo retrospettivo di rispondere del proprio comportamento o delle sue conseguenze. Nel lavoro sulla privacy e sulla sicurezza informatica, significa essere in grado di rendere conto di una decisione, di un'azione o di una mancata azione dopo che sono state esaminate da autorità di regolamentazione, tribunali, clienti o investigatori interni. È diversa da un dovere orientato al futuro: una descrive ciò che dovrebbe essere fatto in seguito, mentre l'altra riguarda ciò che dovrà essere spiegato in un secondo momento.
Nella sicurezza informatica, la responsabilità conta perché gli incidenti raramente dipendono solo da un guasto tecnico. Dipendono anche dal fatto che un'organizzazione possa dimostrare di aver utilizzato controlli ragionevoli, seguito processi approvati e documentato le decisioni chiave. Log, registri delle modifiche, revisioni degli accessi e note sugli incidenti aiutano a dimostrare questa diligenza. Una documentazione carente, una titolarità poco chiara o controlli ignorati possono aumentare l'esposizione dopo una violazione, un reclamo o un audit. La responsabilità, quindi, non è solo un concetto giuridico; è un motivo pratico per rendere la governance della sicurezza chiara, misurabile e dimostrabile.