Il debito di remediation è il backlog crescente di problemi di sicurezza che sono già stati individuati ma non ancora risolti. Può includere pacchetti vulnerabili, servizi esposti, configurazioni deboli o patch scadute. Il termine è importante perché il rischio di sicurezza non scompare quando uno scanner o un analista identifica una vulnerabilità; rimane aperto finché l'organizzazione non la rimedia effettivamente.
Nelle attacchi reali, il debito di remediation offre agli avversari una finestra più ampia per sfruttare debolezze note, soprattutto nelle catene di fornitura del software in cui molte dipendenze devono essere monitorate e aggiornate. I difensori lo riducono assegnando severità, esposizione e titolarità a ogni rilevamento, quindi applicando SLA per le patch, gestione delle eccezioni e verifica continua. Strumenti come SBOM, scanner di vulnerabilità e sistemi di ticketing aiutano i team a vedere cosa è ancora in sospeso e impediscono che il backlog cresca più velocemente della velocità di correzione.