Il rischio dovuto al fattore umano è un'esposizione alla sicurezza causata dalle persone piuttosto che dal solo codice. Include errori, scarso giudizio, stanchezza, cattive abitudini con le password, condivisione imprudente e scarsa consapevolezza delle minacce comuni. In molti ambienti, il livello umano è il punto più facile da sfruttare per un attaccante perché è più difficile da correggere rispetto al software.
Questo rischio è importante perché molti attacchi riescono solo dopo che una persona fa clic su un link di phishing, approva un accesso dannoso, riutilizza una password o invia dati sensibili al destinatario sbagliato. I difensori riducono il rischio dovuto al fattore umano con la formazione sulla consapevolezza della sicurezza, procedure chiare, autenticazione a più fattori, controlli di accesso prudenti e passaggi di verifica per richieste insolite. I buoni programmi di sicurezza trattano il comportamento come parte della superficie di attacco, non come un ripensamento, perché un utente ben addestrato può fermare un'intrusione prima ancora che i controlli tecnici vengano messi alla prova.