La funzionalità di sicurezza è l'insieme delle protezioni integrate che un sistema usa per applicare la fiducia, come autenticazione, autorizzazione, convalida degli input, controlli di sessione, limiti di frequenza e misure di sicurezza. Questi controlli decidono chi può accedere ai dati, quali azioni può eseguire e se una richiesta debba essere bloccata o consentita.
È importante perché molti attacchi non rompono prima la crittografia né rubano le password; prendono di mira il codice che applica le regole di sicurezza. Se un'applicazione non verifica correttamente i ruoli, salta un controllo dei permessi o lascia che una richiesta raggiunga una funzione protetta, un aggressore può leggere dati sensibili o eseguire azioni che non dovrebbe poter compiere. I difensori cercano queste falle testando i controlli di accesso, esaminando i log alla ricerca di usi anomali dei privilegi e correggendo il software che indebolisce le proprie protezioni. In pratica, una debolezza nella funzionalità di sicurezza può trasformare un sistema normalmente limitato in uno che espone dati riservati o aggira i controlli amministrativi.