Un System Security Plan (SSP) è il documento centrale che descrive come i controlli di sicurezza vengono implementati, operati e mantenuti in un sistema o ambiente specifico. Identifica cosa rientra nell'ambito, chi è responsabile, quali dati vengono elaborati e come vengono effettivamente applicate le misure di protezione richieste, come il controllo degli accessi, la registrazione degli eventi, l'applicazione delle patch e la risposta agli incidenti.
Nella sicurezza informatica, un SSP è importante perché trasforma la politica in evidenza. Revisori e valutatori lo usano per verificare che i controlli non siano solo dichiarati, ma gestiti in modo coerente. I difensori si affidano ad esso per mantenere una mappa chiara dell'ambiente, mentre gli aggressori traggono vantaggio quando un SSP manca, è obsoleto o impreciso, poiché ciò spesso indica una governance debole, risorse dimenticate o eccezioni non documentate. Un SSP solido supporta il lavoro continuo di sicurezza e rende più facile dimostrare la conformità prima che una valutazione o un incidente facciano emergere le lacune.