La fase operativa è il momento in cui, in un programma di sicurezza o in un requisito legale, le regole smettono di essere testo di policy e diventano pratica quotidiana. In questa fase, un'organizzazione deve dimostrare che i controlli sono effettivamente utilizzati: il personale segue le procedure, i manager le fanno rispettare, i registri vengono conservati e le eccezioni vengono gestite tramite un processo definito.
Nella sicurezza informatica, questo è importante perché molti fallimenti non avvengono nella progettazione, ma nell'esecuzione. Gli attaccanti sfruttano le lacune tra la policy scritta e il comportamento reale, come approvazioni saltate, escalation deboli o formazione che non viene mai rafforzata. I difensori usano la fase operativa per verificare se i controlli sono ripetibili e misurabili tramite audit, log, esercitazioni tabletop e revisioni di routine. Se una misura di protezione non resiste alla normale pressione operativa, non è davvero operativa.