La configurabilità è la capacità di modificare il modo in cui un sistema si comporta tramite impostazioni, regole, flag di funzionalità, policy o altre opzioni controllate. Nella sicurezza informatica, è essenziale perché la maggior parte dei sistemi deve adattarsi a utenti, ambienti e livelli di rischio diversi senza riscrivere il codice. Una buona configurabilità consente ai difensori di rafforzare l'accesso, attivare la registrazione, bloccare protocolli rischiosi e isolare rapidamente i servizi.
La stessa flessibilità può creare superficie di attacco quando è troppo ampia o mal governata. Gli aggressori spesso sfruttano valori predefiniti deboli, impostazioni amministrative esposte, regole eccessivamente permissive o eccezioni dimenticate per aggirare i controlli. I team difensivi usano la configurabilità per ridurre il rischio standardizzando baseline sicure, limitando chi può modificare le impostazioni e tracciando le modifiche temporanee in modo che non diventino permanenti. In pratica, una configurabilità sicura significa modifiche controllate, responsabilità chiare e impostazioni facili da verificare.