L'autorità è il potere di prendere decisioni, dirigere le azioni e approvare le risorse necessarie per realizzarle. Nella cybersecurity, l'autorità determina chi può dare priorità alle correzioni, autorizzare la spesa, accettare il rischio o richiedere ai team di modificare sistemi e processi.
È importante perché la responsabilità per la sicurezza senza autorità crea un ambiente di controllo debole. Un CISO o un team di sicurezza può essere ritenuto responsabile del rischio, ma non essere in grado di imporre scadenze per le patch, approvare gli strumenti o bloccare modifiche aziendali non sicure. Gli attaccanti traggono vantaggio da questo tipo di attrito: decisioni ritardate e responsabilità poco chiare rallentano la rimedio e lasciano le vulnerabilità esposte più a lungo. I difensori riducono questo rischio definendo i diritti decisionali, i percorsi di escalation e i limiti di approvazione, in modo che le azioni di sicurezza possano avvenire in modo rapido e coerente.