Uno stakeholder è qualsiasi persona o gruppo che è influenzato, o può influenzare, le attività di un'organizzazione. Nella sicurezza informatica, questo include dipendenti, clienti, fornitori, partner, autorità di regolamentazione, investitori e talvolta il pubblico più ampio. Gli stakeholder non sono solo "pubblici" per i team di sicurezza; modellano il modo in cui i sistemi vengono utilizzati, quali dati devono essere protetti e come vengono prese le decisioni sul rischio.
Questo termine è importante perché molti attacchi sfruttano le relazioni con gli stakeholder anziché il solo codice. Il phishing prende di mira i dipendenti, i compromessi della supply chain abusano di fornitori fidati e l'ingegneria sociale si basa sull'autorità o sull'urgenza all'interno di un'organizzazione. I difensori usano l'analisi degli stakeholder per impostare i controlli di accesso, definire le comunicazioni di risposta agli incidenti, valutare il rischio di terze parti e decidere quali dati meritano la protezione più forte. Una chiara mappatura degli stakeholder aiuta anche i team di sicurezza a bilanciare le esigenze aziendali con gli obblighi di conformità e privacy, invece di trattare la sicurezza solo come un problema tecnico.