L'analisi della causa radice è un metodo strutturato per individuare il motivo di fondo per cui un guasto o un problema ricorrente continua a verificarsi. Nella sicurezza informatica, va oltre il sintomo visibile - come un avviso, un'interruzione del servizio, la compromissione di un account o una violazione ripetuta delle policy - per identificare la lacuna di controllo, il difetto tecnico o la debolezza di processo che lo ha permesso. L'obiettivo non è solo correggere ciò che si è rotto, ma impedire che la stessa classe di problema si ripresenti.
È importante perché i team di sicurezza vedono spesso incidenti ripetuti causati dallo stesso problema nascosto: una patch mancante, autenticazione debole, un servizio esposto, uno script difettoso o un ruolo eccessivamente permissivo. Una buona analisi usa log, telemetria degli endpoint, tracce di rete, revisione delle configurazioni e registri delle modifiche per distinguere il fattore scatenante dalla causa. In difesa, l'analisi della causa radice supporta la rimedio, il rafforzamento, la regolazione del rilevamento e le lezioni apprese. Negli attacchi, gli investigatori la usano per capire l'accesso iniziale, la persistenza e perché i controlli esistenti hanno fallito.