La technologie échoue rarement d'elle-même. Derrière la plupart des incidents de sécurité se tient une personne : un développeur qui a laissé passer un détail, un administrateur qui a laissé un paramètre ouvert, ou un utilisateur qui a fait confiance au mauvais message. Cette catégorie examine le côté humain de la sécurité, souvent le maillon le plus faible et presque toujours le plus difficile à corriger. Elle a sa place dans le pilier Fondations, car aucun outillage ne compte si les personnes qui l'entourent ne sont pas prises en compte.
Les sujets ci-dessous décrivent les principales façons dont les personnes influent sur les résultats.
L'erreur humaine dans la conception et le développement s'intéresse aux fautes introduites lors de la construction des systèmes, d'une logique défaillante à des cas limites négligés.
La mauvaise configuration couvre l'écart entre une conception sécurisée et un déploiement sécurisé, là où les valeurs par défaut et les oublis créent des ouvertures.
Le comportement et le mauvais usage des utilisateurs examinent comment les choix, les raccourcis et les habitudes du quotidien exposent les systèmes au risque.
Le manque de formation et de sensibilisation aborde le déficit de connaissances qui empêche les personnes de reconnaître les menaces.
Les humains comme cause profonde de la plupart des incidents relie ces fils et explique pourquoi la culture et l'éducation comptent autant que la technologie.