La complessità è l'insieme nascosto di vincoli, dipendenze e compromessi che rende più difficile costruire in sicurezza un'idea semplice. Nella cybersecurity, la complessità emerge quando un sistema ha molte parti in movimento: servizi, autorizzazioni, aggiornamenti, interfacce e relazioni di fiducia. Più parti interagiscono, maggiori sono le possibilità di configurazioni errate, bug e comportamenti imprevisti.
È importante perché gli attaccanti spesso prendono di mira la complessità stessa. Cercano impostazioni predefinite deboli, componenti dimenticati, politiche in conflitto o falle concatenabili che esistono solo in un ambiente complicato. I difensori affrontano la stessa sfida: una progettazione sicura deve bilanciare usabilità, prestazioni e affidabilità senza creare lacune. Un buon lavoro di sicurezza cerca di ridurre la complessità non necessaria, documentare le eccezioni richieste e testare come i sistemi si comportano in condizioni reali. In pratica, la complessità è spesso il punto in cui le ipotesi semplici falliscono e in cui sia gli attacchi sia le difese hanno successo o falliscono.