Un'eccezione di business è una deroga o esclusione dalle policy che consente a un team, un sistema o un utente di aggirare i controlli di sicurezza standard per uno scopo limitato. Nei programmi di sicurezza, le eccezioni vengono usate per mantenere operative le attività critiche quando un controllo è troppo invasivo, un sistema legacy non può ancora essere corretto, o una necessità di business supera il rischio immediato.
Le eccezioni di business sono importanti perché creano percorsi di fiducia temporanei in sistemi progettati per ridurre al minimo la fiducia. Se le eccezioni sono ampie, scarsamente documentate o non vengono mai revocate, possono diventare punti deboli permanenti. Gli aggressori cercano spesso queste lacune, come vecchie regole di accesso, account privilegiati mantenuti attivi per comodità o monitoraggio allentato per un caso speciale. I difensori riducono il rischio richiedendo approvazione, date di scadenza, controlli compensativi e revisioni regolari, in modo che l'esclusione non diventi una backdoor nascosta.