Un gap di capacità è una carenza nelle persone, nelle competenze, negli strumenti, nei processi o nella maturità operativa necessari per difendere efficacemente un sistema. In ambito di cybersecurity, emerge spesso quando un'organizzazione dispone di software di monitoraggio ma non di analisti per esaminare gli alert, ha policy ma nessuna risposta agli incidenti esercitata, oppure dipende da partner esterni per funzioni che non è in grado di svolgere autonomamente.
I gap di capacità sono importanti perché gli attaccanti sfruttano l'anello più debole in una catena di servizio. Una piccola agenzia, un fornitore o un ente locale con personale limitato può non rilevare il phishing, non applicare rapidamente le patch o faticare a coordinarsi durante un'intrusione, creando un percorso verso un compromesso più ampio. I difensori colmano questi gap migliorando il personale, la formazione, i playbook, la registrazione dei log, i percorsi di escalation e i servizi condivisi. In framework come NIST CSF 2.0, questo non è solo un problema operativo; è un problema di governance e di gestione del rischio che influisce sulla rapidità con cui un'organizzazione può rilevare, contenere e recuperare dagli attacchi.