Una pausa di valutazione è una sospensione temporanea dei tempi di certificazione o di audit. Ritarda le attività di verifica, come le revisioni di terze parti o la ricertificazione, ma non rimuove automaticamente i controlli di sicurezza, i requisiti di policy o gli obblighi contrattuali che erano già in vigore. In pratica, ci si aspetta ancora che l'organizzazione mantenga sicuro il proprio ambiente e conservi evidenze che i controlli siano operativi.
Nella cyber security, questo è importante perché i team possono scambiare un audit in pausa per un rischio ridotto o per un dovere ridotto. Questa falsa sicurezza può rallentare la correzione, far invecchiare la documentazione e lasciare lacune tra le operazioni reali e ciò che un valutatore esaminerà in seguito. I team difensivi dovrebbero usare il tempo extra per chiudere le debolezze note, aggiornare gli inventari, mantenere attuali i piani di sicurezza dei sistemi e conservare prove dell'implementazione dei controlli. Nei programmi reali, una pausa di valutazione cambia il calendario della verifica, non la baseline sottostante che viene misurata.