Una causa tecnica all'origine è la debolezza o il percorso di accesso sottostante che ha permesso il verificarsi di un incidente di sicurezza. Può riguardare un servizio esposto, un'applicazione vulnerabile, credenziali sottratte, autorizzazioni eccessive o un sistema configurato in modo errato. È diversa dagli effetti visibili di un incidente, come i file cifrati o l'interruzione del servizio.
Individuare la causa all'origine aiuta i difensori a interrompere un percorso di attacco, anziché limitarsi a intervenire sui sintomi. Gli investigatori usano prove quali i registri di autenticazione, le attività degli endpoint e i log di rete per determinare come è stato ottenuto l'accesso e quali sistemi sono stati interessati. Nelle indagini sui ransomware, la sola presenza di una vittima in un elenco non rivela la causa tecnica all'origine: questa deve essere accertata sulla base di prove. Una volta confermata, la debolezza può essere corretta, l'accesso revocato e il monitoraggio potenziato per ridurre il rischio che l'incidente si ripeta.