I costi indiretti sono spese di supporto più difficili da associare a un singolo strumento, sistema o incidente. Nella sicurezza informatica includono il monitoraggio continuo, il triage degli avvisi, il coordinamento delle patch, la formazione degli utenti, la manutenzione, il lavoro di audit e il tempo del personale necessario per mantenere operative le difese. Questi costi spesso non compaiono in un ordine di acquisto, ma determinano il costo reale di un programma di sicurezza.
Contano perché un controllo può sembrare economico finché non si considera il suo overhead nascosto. Per esempio, una piattaforma di registrazione dei log può richiedere una regolazione per ridurre i falsi positivi e un incidente può attivare ulteriore coordinamento, ripristino e interruzione delle attività aziendali. Anche gli attaccanti generano costi indiretti quando costringono i difensori a dedicare tempo all'indagine invece che alle normali operazioni. Una buona pianificazione del budget per la sicurezza e un'analisi del rischio dovrebbero includere sia i costi diretti sia quelli indiretti, altrimenti l'organizzazione sottostimerà l'esposizione totale e sovrastimerà il ritorno sull'investimento.