Il costo e l'attrito sono la spesa, il ritardo o il carico operativo che una fase di un processo aggiunge al lavoro. Nella sicurezza informatica, l'attrito è spesso intenzionale: un prompt di accesso, un controllo di approvazione, un limite di velocità o una fase di segmentazione della rete rendono un'azione più lenta o più difficile da abusare. L'obiettivo non è bloccare ogni azione, ma aumentare l'impegno necessario per un uso improprio mantenendo possibile il lavoro legittimo.
Questo è importante perché anche gli aggressori ottimizzano per un basso attrito. Preferiscono percorsi che si automatizzano bene, aggirano la revisione, riutilizzano credenziali rubate o evitano controlli rumorosi. I difensori usano strategicamente il costo e l'attrito aggiungendo MFA, accesso just-in-time, impostazioni predefinite sicure e fasi di rilevamento che costringono gli aggressori a spendere più tempo, denaro e attenzione. Ma troppo attrito può ritorcersi contro se gli utenti inventano soluzioni alternative, disattivano le protezioni o ignorano gli avvisi. Un buon progetto di sicurezza bilancia protezione e usabilità, rendendo costose le azioni dannose ed efficiente il lavoro di routine.