La confidenza media è un livello di valutazione usato quando le prove sono credibili e plausibili, ma non abbastanza forti da supportare una conclusione definitiva. Nella sicurezza informatica, di solito significa che gli analisti hanno visto indicatori che puntano in una direzione, come sovrapposizioni di infrastruttura, comportamento del malware, tracce linguistiche o victimology, ma i dati sono incompleti o potrebbero ancora adattarsi ad altre spiegazioni.
Questo è importante perché l'attribuzione e l'etichettatura delle minacce possono influenzare le priorità difensive, mentre un'eccessiva sicurezza può portare a conclusioni errate. Una valutazione a confidenza media dovrebbe essere trattata come provvisoria: utile per il triage, la costruzione di ipotesi e l'analisi del rischio, ma non come prova. Nelle indagini reali, i difensori la usano per guidare ulteriori attività di hunting, validare la telemetria ed evitare di fissarsi troppo presto su un singolo nome di malware o attore. È un promemoria del fatto che una buona analisi distingue tra prove solide e certezza finale.