Il Paperwork Reduction Act (PRA) è una legge statunitense che richiede alle agenzie federali di ottenere l'approvazione, di solito tramite l'Office of Management and Budget, prima di raccogliere informazioni dal pubblico o da organizzazioni regolamentate. Una raccolta di informazioni può includere moduli di segnalazione, modelli di valutazione, regole di conservazione dei registri o qualsiasi richiesta che standardizzi ciò che le aziende devono presentare o conservare.
Nel campo della sicurezza informatica, il PRA è importante perché molti obblighi di sicurezza iniziano come requisiti di segnalazione o di documentazione. Una revisione PRA può influenzare registri degli incidenti, valutazioni del rischio, inventari delle risorse e prove di conformità per gli operatori di infrastrutture critiche. Per i difensori, ciò significa che governance e conservazione dei registri possono diventare importanti quanto i controlli tecnici. Per gli attaccanti, le strutture formali di segnalazione possono rivelare quali dati le organizzazioni devono conservare, come vengono classificati gli incidenti e quali processi vengono sottoposti ad audit. Quando le agenzie rivedono una richiesta basata sul PRA, ciò può segnalare aspettative più rigorose su come i soggetti regolamentati dimostrano la propria preparazione informatica, anche prima dell'arrivo di nuove misure di enforcement.