Un criterio predefinito è il comportamento preimpostato che un sistema usa quando nessun amministratore ha scelto esplicitamente un'altra impostazione. Negli ambienti gestiti, questo appare spesso come Non configurato: il criterio esiste, ma non è stato impostato per consentire o bloccare una funzionalità. Questa distinzione è importante perché "non impostato" non significa sempre "disabilitato".
Nella sicurezza informatica, i criteri predefiniti possono determinare la reale baseline di sicurezza per endpoint, servizi cloud e sistemi di identità. Gli aggressori spesso traggono vantaggio quando le organizzazioni presumono che un'impostazione predefinita sia sicura, mentre i difensori devono prestare attenzione alle modifiche dei fornitori che portano le funzionalità in uno stato attivato per impostazione predefinita. Una funzionalità di backup, sincronizzazione o accesso remoto abilitata per default può alterare l'esposizione dei dati, la postura di conformità e il comportamento di ripristino. Una buona amministrazione significa rivedere le impostazioni ereditate, non solo i criteri che sono stati modificati manualmente.