Le assunzioni operative sono le condizioni che un sistema si aspetta siano vere per funzionare correttamente. In ambito di cybersecurity, queste assunzioni possono includere confini di rete fidati, input utente validi, impostazioni dell'ora stabili, formati di file specifici o la presenza di crittografia e autenticazione. Quando l'ambiente reale corrisponde alle assunzioni di progettazione, il sistema si comporta come previsto; quando non lo fa, i controlli di sicurezza possono fallire in modi inaspettati.
Questo è importante perché gli attaccanti spesso cercano punti in cui le assunzioni sono troppo ristrette o semplicemente sbagliate. Ad esempio, una web app può assumere che le richieste provengano da un client fidato, oppure un servizio può assumere che i dati siano già stati sanitizzati. Se queste assunzioni vengono violate, gli attaccanti possono inserire dati, aggirare i controlli o costringere un sistema in uno stato non sicuro. I difensori riducono il rischio documentando le assunzioni, testando i casi limite e validando input e identità invece di fidarsi dell'ambiente. Assunzioni chiare rendono i sistemi più facili da rafforzare, monitorare e risolvere in caso di problemi.