Un connection gap è un guasto nel controllo di sicurezza o di business in cui esistono informazioni utili, ma il processo decisionale formale non richiede a nessuno di usarle. I dati possono essere accurati e tempestivi, eppure restano fuori dal flusso di lavoro, così le decisioni vengono ancora prese per abitudine, gerarchia o vecchi modelli. Nel cyber security, questo spesso significa che avvisi, intelligence sulle minacce, punteggi di rischio o risultati sulle vulnerabilità sono visibili ma non costituiscono input obbligatori per decisioni di accesso, patching, approvazioni o risposta agli incidenti.
I connection gap contano perché gli aggressori traggono vantaggio quando le difese sono opzionali. Se l'output del rilevamento non è integrato in una procedura operativa, in un punto di approvazione o in un SLA di risposta, i team possono vedere l'avviso e comunque non intervenire. I difensori riducono il gap incorporando l'intelligence nei controlli: richiedere la revisione degli avvisi ad alto rischio, bloccare le modifiche senza controlli di rischio, instradare le rilevazioni critiche al responsabile corretto e documentare le decisioni. L'obiettivo è rendere l'intelligence di sicurezza parte della catena decisionale, non un elemento consultivo aggiuntivo.