El modelado de amenazas significa decidir qué necesitas proteger, de quién necesitas protegerlo y cuánto esfuerzo merece esa tarea. Es el paso que te indica si una herramienta, configuración o hábito vale la pena antes de invertir tiempo en ello.
Sin este proceso, la gente tiende a caer en una de dos trampas. Algunos no hacen nada porque la seguridad parece interminable. Otros persiguen cada advertencia y terminan exhaustos. La Electronic Frontier Foundation (EFF) califica el intento de proteger todos tus datos de todo y todo el tiempo como algo impracticable y agotador. Un modelo de amenazas reduce la tarea a las amenazas que realmente se aplican a ti.
Después de esta página podrás redactar un plan de una sola página y entenderás por qué dos personas sensatas pueden llegar a decisiones diferentes sobre la misma herramienta. No recomienda herramientas específicas. Las páginas que lo hacen asumen que ya has hecho esto primero.
Qué es el modelado de amenazas en términos sencillos
En la seguridad informática, una amenaza es un evento potencial que podría socavar tus esfuerzos para defender tus datos. Un modelo de amenazas es la lista reducida de amenazas que has decidido tomar en serio, junto con lo que harás respecto a cada una. La EFF llama a este mismo proceso un plan de seguridad.
Los profesionales utilizan la misma idea a mayor escala. OWASP, una organización sin fines de lucro enfocada en la seguridad del software, describe el modelado de amenazas como una forma de identificar, comunicar y comprender las amenazas y las maneras de reducirlas. Se aplica a cualquier cosa de valor, desde software y redes hasta procesos de negocio. El Manifiesto del Modelado de Amenazas, escrito en 2020 por un grupo de profesionales e investigadores, lo describe como el análisis de una representación de un sistema para encontrar problemas de seguridad y privacidad. La escala cambia, pero las preguntas no.
El ejemplo inicial de la EFF es una casa. Si tus pertenencias son valiosas y los robos son comunes donde vives, una mejor cerradura y una alarma tienen sentido. Si los robos son raros, gastar mucho en cerraduras no lo tiene. El mismo razonamiento funciona para contraseñas, teléfonos y cuentas.
Cuatro términos que verás
| Término | Qué significa | Ejemplo |
|---|---|---|
| Activo | Algo que valoras y quieres proteger, generalmente información | Tu correo electrónico, contactos, mensajes, ubicación, documentos y los dispositivos que los contienen |
| Adversario | Una persona o grupo que representa una amenaza para un activo | Una expareja, un hacker en una red Wi-Fi pública, un empleador |
| Amenaza | Un evento potencial que podría socavar tu protección | Alguien inicia sesión en tu correo electrónico con una contraseña filtrada de otro sitio |
| Riesgo | Qué tan probable es que ocurra una amenaza particular contra un activo particular | Que intenten usar una contraseña filtrada en tu correo es probable, pero que una compañía telefónica publique tus registros no lo es |
La EFF define el riesgo como esa probabilidad. El NIST, el organismo de estándares de EE. UU., utiliza una definición formal que también sopesa el impacto en caso de que ocurra la amenaza. Nosotros usamos ambas juntas, y las preguntas a continuación indagan qué tan probable es una amenaza y qué tan grave sería.
Cómo construir un modelo de amenazas
El plan de seguridad de la EFF consta de seis preguntas. Responde a cada una en una o dos frases. El orden no es fijo y a menudo volverás a una respuesta anterior.
¿Qué quiero proteger?
Haz una lista de tus activos. Para la mayoría de la gente esto significa información: correos electrónicos, contactos, mensajes, ubicación, documentos. Los propios dispositivos también cuentan. Añadiríamos las cuentas que dan acceso a todo ello. Para cada activo, anota dónde se guarda, quién tiene acceso y qué impide actualmente que otros entren.
¿De quién quiero protegerlo?
Los ejemplos de adversarios de la EFF incluyen a un jefe, las fuerzas del orden, una expareja, un competidor comercial, un gobierno y un hacker en una red pública. También incluye a personas de confianza que podrían comprometer tus activos al ser descuidadas con su propia seguridad.
El adversario más probable para la mayoría de las personas es mucho menos dramático que un gobierno. En un estudio de un año sobre el secuestro de cuentas de Google realizado con investigadores de la Universidad de Nueva York y la Universidad de California en San Diego, la mayoría de los ataques provinieron de bots automatizados que usaban contraseñas filtradas en brechas de seguridad de otros sitios. El phishing y los ataques dirigidos también estuvieron presentes, pero fueron menos comunes.
¿Qué tan graves son las consecuencias si fallo?
Piensa en lo que un adversario podría hacer con el activo. Podría leerlo, borrarlo o usarlo en tu contra. Los ejemplos de la EFF van desde un enlace malicioso que compromete una computadora hasta alguien haciendo una captura de pantalla de tus mensajes privados. Pregúntate si podrías reemplazar lo que se pierda y si otras personas se verían afectadas también.
Considera la capacidad del adversario. Tu proveedor de telefonía móvil puede ver tus registros de llamadas, y un adversario más fuerte puede llegar mucho más lejos.
¿Qué tan probable es que necesite protegerlo?
La capacidad y la probabilidad son cosas diferentes. Tu proveedor de telefonía móvil puede ver todos tus registros, pero la probabilidad de que los publique para perjudicarte es baja. La EFF lo compara con el colapso de un edificio: es posible en cualquier lugar, pero mucho más probable en una zona sísmica como San Francisco que en Estocolmo.
Este juicio es personal. La EFF señala que algunas personas rechazan una amenaza sea cual sea su probabilidad porque no vale la pena el costo de mitigarla, mientras que otras ignoran riesgos altos porque no los ven como un problema. Anota qué amenazas tomarás en serio y cuáles son demasiado raras, demasiado inofensivas o demasiado difíciles de combatir.
¿A cuántas molestias estoy dispuesto a enfrentarme?
No existe una opción perfecta. El ejemplo de la EFF es un abogado que maneja un caso delicado de seguridad nacional, quien puede aceptar muchos más inconvenientes que un familiar que envía videos de gatos por correo electrónico. Tu respuesta debe tener en cuenta el dinero, el tiempo, la habilidad técnica y las personas que te rodean.
¿Quiénes son mis aliados?
La privacidad y la seguridad se solapan con las de las personas que te rodean, por lo que una amenaza para ti a menudo las alcanza a ellas también. La EFF sugiere acordar con las personas que comparten tus preocupaciones cómo se cuidarán mutuamente y qué se confiarán entre sí. También te recuerda que alguien en tu círculo de confianza podría ser una amenaza interna, y afirma que eso no debería impedirte construir esos vínculos.
Un activo, tres planes
El mismo activo puede necesitar protecciones muy diferentes. Aquí hay tres personas ilustrativas, cada una preocupada por su cuenta de correo electrónico principal.
| Priya, traductora independiente | Daniel, reportero que cubre la corrupción local | Mei, que ha dejado a una pareja controladora | |
|---|---|---|---|
| Adversario más probable | Bots automatizados y phishing masivo | Un atacante determinado que envía mensajes persuasivos y personalizados | Alguien que ya conoce sus hábitos y podría saber sus contraseñas |
| Lo que cuesta el fallo | Pérdida de archivos de clientes e ingresos | Fuentes expuestas y seguridad personal | Seguridad y privacidad en el hogar |
| Esfuerzo que vale la pena | Una cantidad modesta, aplicada en todas partes | Más dinero e inconvenientes | Ayuda especializada, no solo una lista de verificación |
Los planes difieren porque los adversarios difieren, no porque a una persona le importe más que a otra. El estudio de Google muestra por qué esto importa en la práctica. Un código SMS enviado a un teléfono de recuperación bloqueó todos los bots automatizados, el 96% del phishing masivo y el 76% de los ataques dirigidos. Las solicitudes de confirmación en el dispositivo bloquearon el 100%, 99% y 90%. Ningún usuario que dependiera únicamente de llaves de seguridad fue víctima de phishing dirigido durante el estudio. Esos datos corresponden a cuentas de Google en 2019, por lo que no se trasladarán de manera exacta a otros servicios ni a los ataques actuales. Sin embargo, el patrón se mantiene. El riesgo de Priya es principalmente el primer tipo de ataque, y el de Daniel está más cerca del último.
Estas cifras describen a atacantes que tienen que irrumpir. Dicen mucho menos sobre alguien que ya conoce tus contraseñas o puede tomar tu teléfono, que es la situación de Mei. Si este es tu caso, un servicio de violencia doméstica con experiencia en seguridad tecnológica puede ayudarte tanto con tu seguridad física como con tus dispositivos. Los consejos generales no pueden reemplazar esa ayuda.
Para escribir el tuyo, elige un activo, como tu cuenta de correo principal, y responde a las seis preguntas en una frase cada una. Guarda la página en un lugar privado. La EFF señala que una lista de adversarios puede ser algo que quieras destruir una vez que hayas terminado.
Lo que el modelado de amenazas no puede hacer
- No produce una seguridad perfecta. La EFF es directa al afirmar que no existe una opción perfecta, solo un plan razonable para tu situación.
- Es tan bueno como lo que sabes. Si tienes motivos para creer que una persona o grupo determinado te tiene como objetivo, un plan hecho por ti mismo no es suficiente y deberías hablar con una organización especializada.
- No puede alcanzar los datos que otras personas tienen sobre ti. Las empresas y agencias guardan registros sobre ti, y las filtraciones de esos sistemas quedan fuera de tu plan. Por qué importa la privacidad cubre ese problema.
- Puede salir mal si se enfoca de manera demasiado estrecha. El Manifiesto del Modelado de Amenazas advierte contra el exceso de atención en los adversarios, activos o técnicas perdiendo de vista el panorama general.
Una nota más sobre el método. El marco de cuatro preguntas de Adam Shostack (¿en qué estamos trabajando?, ¿qué puede salir mal?, ¿qué vamos a hacer al respecto?, ¿hicimos un buen trabajo?) es el estándar en el trabajo profesional. Él señala que fue diseñado para personas que construyen sistemas y funciona peor para usuarios finales. Por eso esta página utiliza en su lugar la versión en lenguaje sencillo de la EFF.
Mitos comunes
“El modelado de amenazas es para espías y activistas”
El Manifiesto responde a su propia pregunta sobre quién debería modelar amenazas con “tú” y “todos”. El propio ejemplo inicial de la EFF es una casa y una cerradura, no un adversario estatal.
“La opción más segura es siempre la mejor”
Una protección más fuerte suele costar más dinero, tiempo o conveniencia, y la EFF dice claramente que nadie obtiene una opción perfecta. La mejor opción es la que seguirás usando contra las amenazas a las que realmente te enfrentas.
“Tengo que planificar para cada posible atacante”
OWASP afirma que intentar evaluar cada combinación de atacante, ataque, debilidad e impacto es a menudo una pérdida de tiempo y esfuerzo. Reducir la búsqueda a las amenazas que te importan es el propósito del ejercicio.
Cuándo rehacerlo
Tu modelo de amenazas describe tu vida en un momento dado, y tu vida cambia. La EFF recomienda revisar tu plan regularmente y sugiere poner una fecha de revisión en tu calendario. OWASP aconseja actualizar un modelo tras eventos como una nueva función o un incidente de seguridad. Para una persona, el equivalente podría ser comenzar un nuevo trabajo, terminar una relación, hacerse públicamente visible o comprar un dispositivo nuevo. Esos son nuestros ejemplos, no los de la EFF.
Fuentes
- Your Security Plan, Electronic Frontier Foundation (Surveillance Self-Defense), última revisión en octubre de 2023.
- Threat Modeling, OWASP Foundation, consultado en octubre de 2026.
- Threat Modeling Manifesto, grupo de trabajo del Threat Modeling Manifesto, 2020.
- Shostack’s Four Question Frame for Threat Modeling, Adam Shostack, consultado en octubre de 2026.
- Risk (entrada de glosario), National Institute of Standards and Technology, consultado en octubre de 2026.
- New research: How effective is basic account hygiene at preventing hijacking, Google Security Blog, 2019.