Un modello non strutturato è una configurazione operativa o di sicurezza flessibile, con meno regole fisse, meno formati standard e più spazio per decisioni locali. In pratica, questo può rendere un sistema più facile da adattare a team, flussi di lavoro o origini dati diversi, ma rende anche il risultato più difficile da confrontare, verificare e automatizzare in modo coerente.
Nel campo della sicurezza informatica, questo è importante perché gli aggressori spesso cercano controlli disomogenei, responsabilità poco chiare e lacune tra strumenti o team. Un modello meno standardizzato può aumentare queste lacune se log, regole di accesso e processi di revisione non sono allineati. I difensori possono comunque scegliere un approccio non strutturato quando hanno bisogno di velocità o personalizzazione, ma di solito lo affiancano a una governance solida, responsabilità chiare e monitoraggio per mantenere la visibilità e ridurre le deviazioni. Il compromesso è semplice: più flessibilità spesso significa meno prevedibilità, quindi la sicurezza deve essere progettata tenendo conto sia del controllo sia della praticità.