La classificazione del sistema è l'atto di assegnare un sistema a una categoria normativa o di supervisione in base alla sua funzione, sensibilità e impatto. Nel campo della sicurezza informatica, la classificazione aiuta a decidere quali controlli si applicano, come restrizioni di accesso, registrazione dei log, crittografia, gestione delle modifiche e requisiti di audit. Un portale web rivolto al pubblico, una piattaforma di pagamento e un motore di supporto alle decisioni possono tutti richiedere livelli diversi di scrutinio.
Questo è importante perché un sistema classificato in modo troppo leggero può ricevere protezioni deboli, creando un varco per furto di dati, manomissione o abuso. Se un'applicazione ad alto rischio viene trattata come uno strumento di routine, i difensori possono non rilevare la necessità di monitoraggio, test o revisione umana. Al contrario, una classificazione accurata supporta la sicurezza basata sul rischio: aiuta i team a dare priorità alle patch, definire regole di divulgazione e separare i componenti sensibili da quelli meno critici. Gli attaccanti traggono vantaggio da una classificazione errata; i difensori vi fanno affidamento per adattare le protezioni all'esposizione reale.