Il debito operativo è il costo accumulato di soluzioni temporanee, aggiramenti manuali, eccezioni alle policy e scorciatoie affrettate che dovevano essere di breve durata ma diventano parte delle operazioni quotidiane. È simile al debito tecnico, ma si concentra su persone, processi e superfici di controllo come approvazioni, regole di accesso, deriva della configurazione e gestione degli incidenti.
Nella sicurezza informatica, il debito operativo conta perché ogni eccezione aggiunge un altro percorso che un attaccante può sfruttare e un'altra condizione che i difensori devono ricordare. Esempi includono accessi scaduti che non vengono mai rimossi, regole firewall di emergenza lasciate aperte o passaggi di distribuzione unici che bypassano i controlli normali. Queste lacune rendono più difficili gli audit, aumentano la probabilità di errori e rallentano la risposta durante gli incidenti. Una buona difesa riduce il debito operativo tracciando le eccezioni, assegnando responsabili, impostando date di scadenza e verificando se un workaround debba essere corretto in modo adeguato o eliminato.