¿No está científicamente comprobado que los hombres y las mujeres tienen psicologías muy diferentes? De modo que, al menos, deben tener diferentes actitudes hacia el cumplimiento de las políticas y directrices de seguridad. Todo eso debe afectar los riesgos de ingeniería social, la continuidad del negocio, la recuperación de desastres, etc.
No veo ninguna razón por la que no debas utilizar el género como parte de un modelo de amenaza, siempre que puedas explicar por qué crees que haría una diferencia. Para la mayoría de los casos, estoy de acuerdo con otros en que probablemente no lo haría, pero no dejes que eso te desanime.
Podría ser más interesante usar género cuando se analizan árboles de ataque, asignando a ciertos subárboles una mayor probabilidad de realización, en función del género de ciertos actores.
Al mismo tiempo, podría verse tentado a incluir otros atributos como la edad, el origen étnico, el estado socioeconómico, la fase de la luna, etc. El modelado de amenazas es lo suficientemente difícil, por lo que debes ser consciente de la complejidad que cada atributo que consideras agrega a la tarea.
Lea otras preguntas en las etiquetas user-management risk-management threat-modeling