Son riesgos que nacen por las acciones (intencionadas o no) de personas: empleados, proveedores, clientes, atacantes externos.  Algunos ejemplos podrían ser: robo de datos por un empleado o robo de credenciales por un uso de contraseña por parte de los empleados muy básica o reutilizadas. 

Son amenazas que explotan vulnerabilidades lógicas en software, protocolos, configuraciones y arquitecturas. Algunos ejemplos pueden ser: malware, ataques en red, vulnerabilidades del sotfware, etc.