¿Cuál es la diferencia entre una oportunidad de endurecimiento perdido y una falla de seguridad?

Siempre es risk lo que define ese criterio.

¿Cuál es la probabilidad de que el problema sea explotado, cuáles son las mitigaciones implementadas para prevenir o limitar el impacto, y cuáles son los impactos de una explotación exitosa?

Una vez que están definidos, puede clasificar lo que está mal con un sistema y clasificarlos en orden o prioridad, independientemente del tipo de problema (endurecimiento, 0 días, parches, defectos, etc.).

No se puede dibujar una línea en la arena en la que puedas determinar absolutamente de qué lado estás, pero muchas veces será obvio. Por ejemplo, supongamos que vives con tu madre y no quieres que ella encuentre tu alijo de malezas:

• Escondiendo su alijo en el armario de la cocina = falla de seguridad.
• Ocultando su escondite en su estuche de guitarra debajo de su cama = oportunidad de endurecimiento.

Pero a veces no es tan obvio:

• Almacenar contraseñas de usuarios en su base de datos en texto sin formato = falla de seguridad.
• Encriptar contraseñas de usuarios en su base de datos = oportunidad de fortalecimiento.
• Hashing contraseñas de usuario en su base de datos con SHA1 = oportunidad de fortalecimiento.

¿Pero el almacenamiento de las contraseñas de los usuarios en texto sin formato es realmente un error de seguridad ? Creo que uno podría argumentar fácilmente que no lo es, si su servidor de base de datos está bien protegido.