Un gap di progettazione è una discrepanza tra ciò che un modello prevede e ciò di cui una decisione reale ha bisogno per essere utile. Nella cybersecurity, un modello può classificare il traffico come sospetto, assegnare a un file un punteggio di probabile contenuto malevolo o classificare gli utenti in base al rischio, ma l'operatore reale può avere bisogno di qualcosa di diverso: un'azione sì/no, una spiegazione, un livello di confidenza, un asset interessato o una risposta consigliata.
Questo è importante perché molti strumenti di sicurezza falliscono non per una scarsa accuratezza, ma per una cattiva aderenza al flusso di lavoro. Un modello di rilevamento di alta qualità può comunque essere ignorato se non si allinea alle priorità degli analisti, alle regole di escalation o alle fasi di risposta agli incidenti. Gli aggressori traggono vantaggio quando i difensori dispongono di informazioni che non si traducono in azione. Un buon design difensivo colma il gap trasformando le previsioni in decisioni, come bloccare, isolare, esaminare o escalare al momento giusto e nel formato giusto.