L'opzionalità è la capacità di mantenere aperte le scelte future evitando un lock-in non necessario, la complessità o decisioni progettuali troppo restrittive. Nella tecnologia e nella sicurezza, significa costruire sistemi che possano essere modificati, sostituiti, segmentati o riportati a uno stato precedente senza una riprogettazione importante.
È importante nella sicurezza informatica perché gli aggressori spesso sfruttano sistemi difficili da modificare rapidamente: piattaforme legacy, integrazioni strettamente accoppiate e controlli dipendenti dal fornitore possono rallentare le attività di patching, risposta agli incidenti e ripristino. Anche i difensori hanno bisogno di opzionalità per cambiare direzione quando uno strumento fallisce, una minaccia cambia o un requisito aziendale si sposta. Una buona opzionalità deriva da un'architettura modulare, interfacce standard, identità e registri portabili, una chiara gestione della configurazione ed evitando eccezioni ad hoc. Non si tratta di indecisione; è una progettazione deliberata che preserva spazio di manovra per rispondere in seguito. In pratica, l'opzionalità riduce il raggio di esplosione, abbassa il costo del cambiamento e rende i programmi di sicurezza più resilienti nel tempo.