Il ritardo operativo è il divario temporale tra quando si verifica un'attività malevola e quando i difensori possono rilevarla, analizzarla e rispondervi in modo significativo. Nella sicurezza informatica, questo intervallo è critico: gli aggressori lo usano per spostarsi lateralmente, rubare dati, monetizzare frodi, ruotare l'infrastruttura o cancellare le tracce prima che i controlli li raggiungano.
Il ritardo si presenta in molte forme, tra cui la revisione lenta dei log, gli arretrati di alert, le catene di approvazione, le richieste di prove transfrontaliere e il coordinamento debole tra i team. In campagne di frode e intrusione rapide, anche un breve ritardo può consentire a un aggressore di riutilizzare account, server o percorsi di pagamento e rendere più difficile il ripristino. I difensori cercano di ridurre questa finestra con una migliore telemetria, alerting automatizzato, escalation rapida, playbook per gli incidenti e conservazione delle prove. L'obiettivo è accorciare il vantaggio iniziale dell'aggressore, così che il contenimento inizi prima che l'operazione possa फैलpare.