Il rischio legato alla persona chiave è l'esposizione che si crea quando conoscenze critiche di sicurezza, autorizzazioni o accessi sono concentrate in troppe poche persone. In pratica, significa che un amministratore conosce i passaggi per il ripristino del backup, un ingegnere comprende le regole del firewall oppure un manager detiene l'unico percorso di approvazione per le modifiche urgenti. Se quella persona è assente, se se ne va o non è disponibile durante un incidente, l'organizzazione può perdere velocità e controllo.
Questo è importante nella sicurezza informatica perché gli aggressori traggono vantaggio dai singoli punti di guasto. Un evento ransomware, un incidente sulle credenziali o un fallimento del ripristino diventano più difficili da contenere quando nessun altro può utilizzare gli strumenti o spiegare il processo. I difensori riducono il rischio formando il personale in modo incrociato, scrivendo procedure operative, testando i passaggi di consegna, usando in modo sicuro credenziali condivise e separando le mansioni in modo che il lavoro essenziale non dipenda da una sola persona. I team ben gestiti rendono i propri controlli ripetibili, non personali.