Il potere aziendale è la capacità di orientare decisioni, priorità e comportamenti all'interno di un'organizzazione. Non si limita all'autorità formale: può derivare dallo status dirigenziale, dal controllo del budget, dall'accesso ai decisori o dalla capacità di definire cosa sia considerato un rischio accettabile. In pratica, il potere aziendale influenza quali progetti vengono approvati, quali avvisi vengono segnalati ai livelli superiori e quali controlli vengono considerati facoltativi.
Nella sicurezza informatica, il potere aziendale conta perché i risultati in materia di sicurezza dipendono da più elementi oltre a strumenti e politiche. Un dirigente con forte influenza può accelerare l'applicazione delle patch, imporre restrizioni di accesso o sostenere un'indagine. La stessa influenza può anche soffocare il dissenso, ritardare le correzioni o fare pressione sul personale affinché ignori risultati scomodi. Gli aggressori spesso sfruttano queste dinamiche attraverso l'ingegneria sociale, l'impersonificazione e l'abuso della fiducia, mentre i difensori cercano di bilanciare autorità, revisione, responsabilità e capacità di contestazione. Una solida governance della sicurezza funziona al meglio quando il potere aziendale è controllato da evidenze e validazione indipendente.