Modelado de amenazas
Trabajo estructurado sobre "quién podría atacarnos, cómo, y qué hacemos al respecto".
Marcos de referencia: STRIDE (Microsoft), DREAD, PASTA. Preguntas clave: ¿qué activos hay que proteger?, ¿quiénes son los atacantes?, ¿cuáles son los puntos de entrada? Se hace pronto en el diseño y se actualiza junto con el código. Evita construir sobre una arquitectura equivocada — sale más barato que arreglarlo después.