Non configurato significa che non è stato assegnato alcun valore di policy esplicito. In sistemi come Windows Group Policy o la gestione dei dispositivi mobili, questo non significa sempre "disattivato". La piattaforma può applicare il proprio comportamento predefinito, ereditare una policy padre oppure lasciare l'impostazione a un altro livello di controllo.
Nel campo della sicurezza informatica, questo è importante perché una policy non impostata può creare deriva delle policy: gli amministratori credono che un controllo sia disabilitato o indeciso, mentre il dispositivo in realtà si comporta secondo un'impostazione predefinita del fornitore. Gli aggressori non devono sfruttare direttamente questo stato; possono trarre vantaggio dalla confusione che genera, mentre i difensori usano un'attenta revisione delle policy per evitare sorprese. I team di sicurezza dovrebbero considerare Non configurato come uno stato che richiede verifica, non come un segnaposto sicuro.