La variabilità è la differenza tra il modo in cui sistemi, servizi o processi dovrebbero funzionare e il modo in cui funzionano effettivamente nella pratica. Nella sicurezza informatica, si manifesta spesso come configurazioni incoerenti, livelli di patch disomogenei, impostazioni di registrazione diverse o eccezioni operative una tantum. Queste differenze contano perché gli aggressori cercano la versione più debole o meno monitorata di un sistema, mentre i difensori hanno bisogno di un comportamento prevedibile per rilevare gli abusi, confrontare gli eventi e rispondere rapidamente.
La variabilità non controllata aumenta il rischio rendendo più difficile verificare e sottoporre a audit i controlli di sicurezza. Una policy applicata alla maggior parte degli host ma saltata su alcuni crea punti ciechi che possono essere sfruttati per l'accesso iniziale, il movimento laterale o la persistenza. I difensori riducono questo rischio con baseline, gestione delle configurazioni, controllo delle modifiche ed eccezioni a tempo limitato. Parte della variabilità è intenzionale, ma dovrebbe essere esplicita, assegnata e revisionata, così da non trasformarsi in debito operativo nascosto.