Écart accumulé entre l'état de sécurité d'un système et l'état qu'il devrait présenter, créé par des arbitrages rationnels au moment où ils sont pris et longtemps dépourvu d'échéance, de créancier et d'unité de mesure.
Le terme n'est pas une métaphore. Comme une dette financière, la dette de sécurité résulte d'un arbitrage entre le présent et l'avenir, elle porte intérêt puisque le coût de correction croît avec l'ancienneté du composant et le nombre de systèmes qui en dépendent, et elle devient exigible à une date que le débiteur ne choisit pas. Sa particularité tenait jusqu'ici à son invisibilité comptable : elle ne figure à aucun bilan, ne se mesure dans aucune unité partagée, n'a pas d'échéance, et son omission ne constitue aucune irrégularité. Une entreprise pouvait donc présenter des états parfaitement fidèles tout en portant un passif considérable dont personne, y compris elle-même, ne connaissait le montant. Le règlement européen sur la cyberrésilience a changé ce statut sans changer la nature du danger, en fournissant les quatre attributs manquants, une date d'exigibilité, un créancier sous la forme de l'autorité de surveillance du marché, une unité de mesure avec la nomenclature logicielle, et un barème de sanction.
Une bibliothèque obsolète que l'on ne met pas à jour parce que la migration coûterait trois mois de développement constitue un choix rationnel à l'instant où il est fait, et un passif qui grossit ensuite silencieusement.
dette technique, security debt, dette de sécurité