“Approvazione e controllo” descrive una modalità di governance in cui i leader esaminano principalmente le proposte, autorizzano le azioni e monitorano i risultati. Nella sicurezza informatica, questo è importante perché le decisioni di sicurezza non dovrebbero essere limitate a una semplice approvazione finale. Se la supervisione avviene solo al momento dell'approvazione, rischi come una progettazione debole degli accessi, scelte di fornitori non sicure, una gestione inadeguata dei dati o piani di ripristino mancanti possono essere scoperti troppo tardi.
Nella pratica, gli attaccanti traggono vantaggio quando le organizzazioni trattano la sicurezza come una casella da spuntare invece che come un processo di controllo continuo. I difensori usano correttamente l'approvazione e il controllo definendo politiche, richiedendo una revisione del rischio prima della distribuzione, applicando la segregazione dei compiti e monitorando eccezioni e modifiche. Una solida governance informatica trasforma l'approvazione in un punto di controllo, non in un punto di ritardo: verifica se i sistemi sono resilienti, chi è responsabile di ciascuna decisione e se il monitoraggio può rilevare un uso improprio o una deriva. Questo rende il termine centrale per la supervisione della sicurezza a livello di consiglio e per la gestione del rischio digitale.