Una superficie di rischio è l'insieme dei punti di un sistema in cui progettazione, funzionamento o uso improprio possono causare danni. Nella sicurezza, include API esposte, interfacce utente, autorizzazioni, flussi di lavoro, integrazioni di terze parti e persino la logica di business che può essere manipolata. Più la superficie è ampia e complessa, maggiori sono le opportunità per aggressori, utenti o automazione difettosa di provocare esiti non sicuri.
La superficie di rischio è importante perché non tutti i problemi di sicurezza sono una violazione. Alcuni sono abuso, frode, perdita della privacy, impostazioni predefinite non sicure o comportamenti che creano esposizione legale e operativa. I difensori riducono la superficie di rischio eliminando le funzionalità non necessarie, rafforzando l'accesso, convalidando gli input, limitando i privilegi e monitorando i modelli di abuso. Gli aggressori spesso cercano punti deboli nella superficie di rischio, come un'impostazione configurata in modo errato, un sistema di classificazione che può essere manipolato o un flusso di lavoro che può essere spinto verso un comportamento non previsto.