Il debito di inventario è l'accumulo nel tempo di asset non tracciati, denominati in modo errato o classificati in modo insufficiente. Nella cybersecurity, si manifesta quando i team perdono una visibilità accurata su ciò che è connesso alla loro rete: laptop dimenticati, sensori IoT non gestiti, vecchi controller OT, sistemi di shadow IT o dispositivi ereditati da progetti passati. Questo è importante perché i controlli di sicurezza dipendono dalla conoscenza di ciò che esiste. Se un asset manca nell'inventario, potrebbe anche mancare di patching, logging, revisione della titolarità, controllo degli accessi e pianificazione della dismissione.
Il debito di inventario aumenta la superficie di attacco lasciando dispositivi online con firmware obsoleto, impostazioni predefinite o una proprietà aziendale poco chiara. Gli aggressori spesso traggono vantaggio da questo tipo di deriva perché i sistemi non gestiti sono più facili da trascurare durante gli audit e possono rimanere esposti più a lungo del previsto. I difensori riducono il debito di inventario con scoperta continua, classificazione degli asset, assegnazione della titolarità e gestione del ciclo di vita. Negli ambienti OT, spesso si preferisce una scoperta a basso impatto o passiva, così la visibilità non interrompe le operazioni. Un buon inventario non è solo contabilità; è un controllo di sicurezza che aiuta i team a rilevare l'esposizione prima che si trasformi in un incidente.