Il lavoro cognitivo è un lavoro incentrato sul pensiero: analisi, giudizio, interpretazione e risoluzione dei problemi, anziché su compiti fisici. Nella cybersecurity, include la revisione degli avvisi, l'analisi di attività sospette, l'approvazione degli accessi e la decisione se un'azione automatizzata sia affidabile. Poiché questo lavoro dipende dall'attenzione e dall'esperienza umana, è facile metterlo sotto pressione con rumore, ambiguità e pressione.
Gli aggressori spesso colpiscono indirettamente il lavoro cognitivo. Il phishing, l'ingegneria sociale con deepfake e l'inondazione di avvisi sono progettati per ingannare le persone o esaurire gli analisti fino a far loro mancare una minaccia reale. I difensori cercano quindi di preservare il giudizio umano con log chiari, punteggi spiegabili, punti di revisione e percorsi di escalation. Quando i sistemi di IA vengono usati per classificare i candidati, segnalare gli utenti o bloccare le transazioni, la domanda chiave di sicurezza è se le persone possano comprendere, contestare e annullare la decisione della macchina quando è sbagliata.