脅威モデリング

第3章 脅威モデリング 脅威モデリングの方法論

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

つまり、別の言い方をすれば、どのようなモデルが（厳密な仮定が決して正しくない）実際に機能する手続きを生み出す可能性が高いかを知ることが非常に重要なのである。

G. E. P. Box and A. Luceño,Statistical Control：モニタリングとフィードバック調整による（ジョン・ワイリー・アンド・サンズ社）

本章では、利用可能な多くの脅威モデリング手法を紹介し、脅威モデリングという学問の多面性を浮き 彫りにする。これらの方法論の利点と欠点について、私たちの個人的な見解と経験（適切な場合には、信頼できる情報源から意見を拝借する）を述べる。

深入りする前に...

ベストな方法論は存在しない。ある特定の方法論が、ある組織やチーム、あるいは特定のテクノロジーやコンプライアンス要件にうまく機能することもあれば、完全に失敗することもある。その理由は、チームの組織文化、脅威モデル演習に関わる人々、プロジェクトの現状によってチームに課せられた制約（これは時間とともに変化する）など、さまざまである。

例えば、セキュリティ指向の目標を持たずにスタートしたチームが、セキュリ ティチャンピオン（ ）を選任してチーム全体のセキュリ ティ上の利害を代表するようになり、最終的に開発者、アーキテクト、テス ターの全員が製品全体のセキュリティに個別に責任を持てるだけのセキュリティ 知識を持っている状態に到達する。¹この 3 段階のそれぞれにおいて、このチームは脅威モデリング手法の選択に異なる影響を与える一連の問題に直面する：

ステージ1、セキュリティに関する目標がない（知識もほとんどない）。

チームは、教育的価値を提供し、手薄な果実に焦点を絞った方法論を選ぶべきである。これにより、チームはセキュリティの基本をルーチンと初期決定 に取り入れることができ、セキュリティの知識が全体的な開発手法の本質的な一部と なるように仕込むことができる。

ステージ 2、セキュリティ・チャンピオンを任命する

チームは、より構造化された脅威モデリング手法を使用する方が成功する可能性がある。この手法では、より詳細でアクション指向の結果を得るために、より経験豊富なセキュリティ実務者がチームを指導する必要がある。

ステージ3、すべての個人が等しく製品セキュリティを所有する

、特定されたリスクは即座に軽減され、「このような悪いことが起こるかもしれないと考えたので、それに対して私たちはこうしました」という形で文書化される。あるいは、組織は、様々な製品チーム全体で使用でき、組織のニーズに合わせて微調整された、手作りの方法論を考え出すかもしれない。

どの段階にいるにせよ、現在のセキュリティ体制を次のレベルに引き上げるのに役立つ脅威モデリン グ手法を検討したい。その方法論は、現在使用している開発方法論と互換性があり、自由に使えるリソースや獲得できるリソースにも対応できるものでなければならない。

脅威モデリングの第一人者であり、この分野のプリンシパルの一人であるアダム・ショスタック（Adam Shostack）は、、「良い脅威モデルとは、有効な発見をもたらすものである」という有名な言葉を残している。²良い脅威モデルと悪い脅威モデルの違いは、良い脅威モデルには有効な発見があるということだ。有効な発見とは ...