Nella stesura di documenti legali e di policy, “shall” di solito esprime un dovere o un requisito obbligatorio, mentre “will” spesso descrive un'intenzione, un'aspettativa o un'azione futura. Nei documenti di sicurezza e privacy, questa differenza conta perché cambia se un'affermazione è un controllo applicabile o solo un piano.
I difensori informatici si affidano a una formulazione precisa in policy, contratti, standard e normative. Se un controllo dice che un team shall cifrare i dati sensibili, ciò crea un obbligo che può essere verificato e applicato. Se invece dice che il team will cifrare i dati, il linguaggio può essere più debole e più facile da interpretare come una roadmap anziché come un requisito. Sia gli attaccanti sia gli auditor sfruttano il linguaggio vago: gli attaccanti traggono vantaggio quando le organizzazioni trattano impegni deboli come controlli reali, mentre i difensori cercano formulazioni con “shall” per costruire verifiche di conformità misurabili, regole di accesso, limiti di conservazione e obblighi di risposta agli incidenti. Una formulazione chiara trasforma i requisiti legali in controlli di sicurezza operativi.