Waterfall è un modello di delivery sequenziale che procede attraverso fasi fisse, come requisiti, progettazione, implementazione, test e rilascio. Ogni fase termina con un passaggio di consegne formale e con l'approvazione prima che inizi la successiva. Questo rende il processo prevedibile e facile da verificare, motivo per cui è ancora comune in ambienti regolamentati e in programmi di sicurezza che richiedono documentazione chiara, controllo delle modifiche e approvazione finale.
Nella sicurezza informatica, Waterfall è importante perché influenza il modo in cui le difese vengono pianificate e distribuite. Può supportare una forte governance per revisioni di architettura sicura, evidenze di conformità e distribuzioni controllate. Tuttavia, la sua rigidità può anche rallentare l'applicazione delle patch, i miglioramenti alla risposta agli incidenti e l'adattamento alle nuove minacce. Gli attaccanti traggono vantaggio quando le organizzazioni si muovono lentamente attraverso le approvazioni, lasciando non corrette vulnerabilità già note. Per questo motivo, molti team combinano i controlli Waterfall con pratiche di sicurezza più iterative, così da mantenere la tracciabilità senza sacrificare la velocità di risposta.