Right-design significa dimensionare sistemi e controlli in base all'esigenza reale invece di ricorrere per default a capacità eccessiva, complessità non necessaria o funzionalità sovradimensionate. Nella sicurezza informatica, l'idea è costruire difese che si adattino al modello di minaccia, alla sensibilità dei dati e ai requisiti operativi, invece di aggiungere controlli che sembrano più sicuri ma non riducono il rischio reale.
Questo è importante perché una sicurezza sovradimensionata può essere costosa, lenta e difficile da gestire, mentre una sicurezza insufficiente lascia lacune che gli attaccanti possono sfruttare. Il right-design emerge nel lavoro pratico, ad esempio nell'accesso con privilegi minimi, nella segmentazione di rete basata sul rischio e nella registrazione degli eventi sufficientemente dettagliata per il rilevamento ma non così ampia da sopraffare gli analisti. Aiuta anche i difensori a evitare di creare ulteriore superficie di attacco tramite servizi inutilizzati, strumenti configurati male o esposizioni non necessarie. L'obiettivo è una protezione misurabile, non semplicemente più controlli.