La governance del programma è l'insieme di regole, ruoli, approvazioni e supervisione che controllano il modo in cui viene gestito un programma di sicurezza. Definisce chi prende le decisioni, come le decisioni vengono riesaminate, quali standard devono essere seguiti e come vengono gestite le eccezioni. Nel campo della cybersecurity, la governance si colloca al di sopra delle operazioni quotidiane e mantiene un programma coerente, responsabile e allineato con gli obiettivi di business e di rischio.
Una buona governance è importante perché gli strumenti e i processi di sicurezza funzionano bene solo quando le responsabilità sono chiare. Nella gestione delle vulnerabilità, ad esempio, la governance può definire come vengono convalidati i record, chi approva gli aggiornamenti e con quale rapidità i problemi devono essere classificati per priorità. Una governance debole porta spesso a dati duplicati, patch mancate o una prioritizzazione incoerente. Gli attaccanti possono trarre vantaggio quando le organizzazioni hanno una titolarità poco chiara o un processo decisionale lento, mentre i difensori usano la governance per imporre la qualità, accelerare la risposta e rendere l'automazione più affidabile.