“Shall” è un termine giuridico che significa obbligo, non scelta. Nelle regole di sicurezza e privacy, indica a un'organizzazione che un dovere deve essere rispettato, anche se la legge non prescrive un unico metodo tecnico preciso. Nel linguaggio del GDPR, questo trasforma principi come protezione, minimizzazione e responsabilità in azioni richieste.
Nella sicurezza informatica, questo è importante perché i difensori devono tradurre un dovere legale in controlli concreti: restrizioni di accesso, registrazione dei log, crittografia, limiti di conservazione e processi di risposta. Gli attaccanti non sfruttano la parola in sé, ma traggono vantaggio quando le organizzazioni trattano “shall” come una formulazione vaga invece che come un requisito vincolante. Le buone difese lo considerano un vincolo di progettazione: identificare il dovere, scegliere misure adeguate, documentare la decisione e verificare che la protezione funzioni nella pratica.