La sécurité est une négociation permanente entre ce qui pourrait mal tourner et ce que nous sommes prêts à accepter. La protection parfaite n'existe pas, aussi les praticiens raisonnent en termes de risque et de confiance : juger la probabilité d'une menace, l'ampleur du préjudice qu'elle pourrait causer, et à qui ou à quoi se fier. Cette catégorie explore ce raisonnement. Elle a sa place dans le pilier Fondations, car presque chaque décision de sécurité est, au fond, un jugement rendu avec une information incomplète.
Les sujets ci-dessous cadrent la discipline.
L'évaluation et la gestion du risque couvrent la façon dont les menaces sont identifiées, mesurées, priorisées et ramenées à des niveaux acceptables.
Construire et accorder la confiance aux systèmes et aux personnes examine comment la confiance se gagne, se vérifie et s'étend, et ce qui arrive lorsqu'elle est mal placée.
Arbitrer entre risque et facilité d'usage met en balance une protection plus forte avec la friction qu'elle ajoute pour ceux qui doivent utiliser le système.
La prise de décision dans l'incertitude aborde la façon dont les équipes choisissent et agissent alors que le tableau complet n'est jamais disponible.