Uno scenario di stress è un insieme di condizioni gravi ma plausibili usato per testare se sistemi, operazioni e finanze possono resistere a shock importanti. Nella sicurezza informatica, può combinare eventi come un'epidemia di ransomware, un'interruzione del cloud, il guasto di un fornitore e la non disponibilità del personale per vedere quanto bene un'organizzazione opera sotto pressione. L'obiettivo non è prevedere un singolo incidente esatto, ma far emergere i punti deboli che i test normali possono non rilevare.
Gli scenari di stress sono importanti perché gli aggressori spesso sfruttano problemi di tempistica e di dipendenza, non solo difetti tecnici. Un attacco denial-of-service durante il picco della domanda, o una violazione che colpisce i sistemi di backup e gli strumenti di ripristino, possono trasformare un incidente di sicurezza in un problema operativo o di finanziamento. I difensori utilizzano i test di stress per verificare la risposta agli incidenti, le procedure manuali di fallback, il tempo di ripristino, la concentrazione sui terzi e la pianificazione della continuità operativa. Se un sistema funziona solo in condizioni di calma, non è abbastanza resiliente per gli attacchi del mondo reale.