Le misure proporzionate sono controlli di sicurezza commisurati al livello di rischio, al valore dell'asset e al probabile impatto di un guasto. Invece di applicare le stesse protezioni ovunque, un'organizzazione calibra le misure di salvaguardia in modo che i servizi critici, i dati sensibili e i fornitori ad alta esposizione ricevano un'attenzione maggiore rispetto ai sistemi a basso impatto. Questo è un principio fondamentale della gestione del rischio perché le risorse di cybersecurity sono limitate e i controlli dovrebbero affrontare un'esposizione reale, non modelli generici.
Nella pratica, le misure proporzionate si manifestano in decisioni come un'autenticazione più forte per gli accessi privilegiati, un monitoraggio più rigoroso sui servizi critici, controlli più approfonditi sui fornitori chiave o reti segmentate per i sistemi che causerebbero gravi interruzioni se compromessi. Gli aggressori spesso sfruttano i punti in cui le difese sono troppo deboli rispetto all'importanza aziendale del bersaglio. I difensori usano il principio di proporzionalità per giustificare perché un sistema richiede un hardening pesante mentre un altro può rimanere più semplice, rendendo la sicurezza sia efficace sia difendibile.