La difesa operativa si riferisce a controlli di sicurezza che sono attivamente in esecuzione, monitorati e verificati in un ambiente reale. È la differenza tra una politica che esiste sulla carta e un controllo che protegge davvero i sistemi, come il rilevamento sugli endpoint, la segmentazione della rete, l'applicazione dell'identità, la registrazione dei log, il test dei backup e le procedure di risposta agli incidenti. Una difesa è operativa solo quando i team sanno che funziona nelle condizioni attuali, non solo nelle revisioni di progettazione o negli audit di conformità.
Questo è importante perché gli aggressori sfruttano i divari tra la sicurezza prevista e la sicurezza effettiva. Negli attacchi reali, le difese falliscono quando le regole sono obsolete, gli avvisi vengono ignorati, i backup non possono essere ripristinati o i controlli di accesso non riflettono gli account e i servizi effettivamente attivi. La difesa operativa si concentra su test continui, misurazione e miglioramento, in modo che la sicurezza possa rispondere sotto pressione. È una parte fondamentale della resilienza: se la prevenzione non riesce a bloccare qualcosa, l'organizzazione dispone comunque di controlli in grado di rilevare, contenere e riprendersi dall'evento.