La certificazione di terza parte è una verifica indipendente che un'organizzazione soddisfi requisiti di sicurezza definiti. Invece di fidarsi delle affermazioni della stessa azienda, un valutatore esterno esamina controlli, prove e talvolta operazioni tecniche per stabilire se lo standard sia stato raggiunto.
Nella sicurezza informatica, questo è importante perché le sole politiche non dimostrano la resilienza. La certificazione può aiutare acquirenti, autorità di regolamentazione e partner a confrontare la maturità della sicurezza e a individuare programmi deboli che sembrano conformi solo sulla carta. Nelle difese reali, viene spesso usata insieme a basi di riferimento per il controllo degli accessi, l'applicazione delle patch, la registrazione dei log e il rischio dei fornitori. Negli attacchi, le lacune emergono quando la certificazione si concentra sui documenti invece che sui sistemi in funzione: un'organizzazione può essere