Le competenze sottoutilizzate sono abilità presenti in un team ma non utilizzate appieno. Nella sicurezza informatica, questo significa spesso che analisti, ingegneri o addetti alla risposta agli incidenti hanno conoscenze di scripting, threat hunting, reverse engineering o sicurezza cloud, ma trascorrono gran parte del tempo in attività di routine. Il risultato è un minore ritorno sulla formazione e una postura di sicurezza più debole.
Questo è importante perché gli attaccanti traggono vantaggio quando l'esperienza difensiva non viene trasformata in azione. Un SOC può avere persone in grado di automatizzare il triage, ma continuare comunque a fare affidamento sulla revisione manuale; un team blue può comprendere il comportamento degli attaccanti, ma non usare mai tale conoscenza per ottimizzare i rilevamenti. I buoni difensori riducono questo spreco abbinando le competenze ai ruoli, ruotando il personale verso attività a maggior valore e costruendo flussi di lavoro che consentano all'expertise di migliorare monitoraggio, rilevamento e risposta.