P&L sta per profitti e perdite. È il rendiconto finanziario che riassume ricavi, costi e la redditività risultante in un determinato periodo. Nella sicurezza informatica, il P&L conta perché gli attacchi raramente restano sul piano tecnico: ransomware, frodi, compromissione degli account e interruzioni del servizio possono tutti ridurre i ricavi o aumentare i costi operativi, e questi effetti alla fine si riflettono nei numeri aziendali.
I responsabili della sicurezza usano il ragionamento P&L per giustificare i controlli in termini di business. Un programma di patching, un investimento nel backup o un aggiornamento dell'identità non sono solo un miglioramento tecnico; possono essere valutati in base ai tempi di inattività evitati, alla riduzione delle spese di risposta agli incidenti e alle minori perdite da frode. Anche gli aggressori prendono di mira indirettamente il P&L interrompendo le vendite, ritardando la produzione o facendo pressione sulle vittime perché paghino. Per i difensori, la chiave è tradurre il rischio informatico in impatto finanziario, così che i dirigenti possano confrontare la spesa per la protezione con il costo dell'inazione.