Tehdit modelinde yalnız dış saldırgan değil, kurum içindeki yetkinin kapsam aşımı da aktör olarak düşünülmelidir. Bir işlemi yapabilmek, her veriyi her amaçla kullanma yetkisi vermez. Model rolü gösterip yetki sınırını göstermiyorsa, içeriden gelen riski güven varsayımı diye dosyanın dışına iter.