La capacità è la quantità massima di lavoro, traffico o output che un sistema può gestire prima che le prestazioni peggiorino o inizino i guasti. In ambito cybersecurity, è importante perché ogni controllo, servizio e processo ha dei limiti: larghezza di banda, CPU, memoria, storage, profondità delle code e tempo di risposta del personale.
Gli aggressori spesso prendono di mira la capacità invece di cercare di rompere la crittografia o aggirare l'autenticazione. Un attacco denial-of-service può inondare un server fino a renderlo incapace di rispondere alle richieste legittime. I tentativi di accesso brute-force possono esaurire i sistemi di autenticazione e il flooding dei log può sovraccaricare gli strumenti di monitoraggio, così che i veri allarmi vengano sommersi. I difensori gestiscono la capacità con il rate limiting, il bilanciamento del carico, l'autoscaling, la cache e il monitoraggio delle risorse. Una buona pianificazione della capacità aiuta a mantenere i servizi disponibili durante gli attacchi, i periodi di picco e la risposta agli incidenti.