Una falla di sicurezza è qualsiasi controllo, confine o punto di verifica mancante che lascia una parte di un sistema meno protetta del previsto. Può essere di natura tecnica, come un servizio non monitorato o un percorso di autorizzazione aperto, oppure procedurale, come un'approvazione saltata, un inventario incompleto o un passaggio di verifica assente. La falla spesso non è un singolo difetto, ma lo spazio tra i controlli di sicurezza in cui prendono il sopravvento le assunzioni.
Le falle di sicurezza sono importanti perché gli aggressori cercano il percorso più facile, non il livello più forte. Un confine mancante può consentire loro di muoversi lateralmente, una revisione mancante può permettere che modifiche non sicure persistano e un controllo assente può creare punti ciechi nella registrazione, nella gestione degli accessi o nelle attività di patching. I difensori riducono il rischio mappando gli asset, verificando la copertura lungo l'intero flusso di lavoro e testando se i controlli proteggono davvero la superficie prevista, non solo le parti più facili da vedere.