Una soglia operativa è un punto decisionale predefinito che trasforma una misurazione in un'azione. Quando un punteggio, un conteggio, un livello di confidenza o una valutazione del rischio supera la soglia, il sistema può richiedere una revisione aggiuntiva, applicare misure di protezione più rigorose o interrompere del tutto una distribuzione. Le soglie sono utili perché rendono le decisioni ripetibili e più facili da verificare, invece di affidarsi a giudizi umani ad hoc.
Nel cyber security, le soglie compaiono in molte difese: limiti di accessi non riusciti che attivano il blocco dell'account, punteggi di anomalia che fanno escalare un avviso, rilevamenti di malware che mettono un file in quarantena, oppure controlli di valutazione dei modelli che bloccano un rilascio rischioso. Sono importanti perché gli aggressori spesso sondano questi limiti. Possono restare appena al di sotto di una soglia di allerta per evitare il rilevamento, oppure generare abbastanza rumore da forzare il blocco di risorse o la stanchezza da alert. Le soglie ben progettate sono calibrate, monitorate e aggiornate in modo da supportare la sicurezza senza essere facili da aggirare.