La sicurezza sottrattiva è un approccio di progettazione difensiva che riduce il rischio rimuovendo accessi, servizi, autorizzazioni e percorsi non necessari prima che un attaccante possa abusarne. Invece di aggiungere altri avvisi o controlli compensativi, pone una domanda più semplice: cosa si può eliminare senza compromettere l'operatività aziendale?
Questo è importante perché ogni ulteriore diritto di account, porta esposta, flusso di lavoro di fallback o integrazione può diventare parte di un percorso di attacco. Negli attacchi reali, gli avversari spesso concatenano insieme piccole debolezze, quindi ridurre la superficie di attacco può impedire che queste catene si formino fin dall'inizio. Nella difesa, la sicurezza sottrattiva si manifesta nel privilegio minimo, nella dismissione dei servizi, nella disattivazione delle funzionalità non utilizzate, nel rafforzamento della raggiungibilità di rete e nell'eliminazione delle eccezioni legacy. Il monitoraggio resta importante, ma funziona meglio dopo che l'esposizione è stata ridotta al minimo.