L'ingegneria dei requisiti è il processo disciplinato di definire che cosa un sistema deve fare, verificare che tali esigenze siano corrette e gestire le modifiche man mano che il progetto evolve. Trasforma obiettivi di business vaghi in requisiti verificabili e tracciabili, come chi può accedere ai dati, come dovrebbe funzionare l'autenticazione, che cosa viene registrato e quali eventi devono attivare gli avvisi.
Nella sicurezza informatica, una solida ingegneria dei requisiti è essa stessa un controllo. Molti fallimenti di sicurezza iniziano con requisiti mancanti, poco chiari o in conflitto: una funzionalità viene rilasciata senza autenticazione multifattore, i log non vengono conservati abbastanza a lungo per un'indagine oppure le regole di accesso restano aperte all'interpretazione. Gli aggressori spesso traggono vantaggio da queste lacune, mentre i difensori usano i requisiti per costruire impostazioni sicure predefinite, definire test di accettazione e dimostrare che i controlli critici sono stati implementati. Una buona ingegneria dei requisiti aiuta anche i team a gestire in modo sicuro i cambiamenti quando emergono nuovi rischi, normative o integrazioni.