脅威モデリングとは、サイバー攻撃の手口をただ並べる作業ではありません。
本エピソードでは、脅威モデリングとは何か、なぜ経営者や事業責任者に必要なのかを解説します。
取り上げる主なテーマ
- 脅威モデリングとは何か
- セキュア・バイ・デザイン
- 脆弱性診断・ペネトレーションテストとの違い
- OWASPの4つの問い
- 守るべき資産ではなく「許容できない結果」から考える
- 信頼境界（Trust Boundary）
- 攻撃者の期待利益
- 金銭目的の犯罪者と国家支援型攻撃者の違い
- ランサムウェアと知的財産窃取
- 多層防御
- 残留リスク・残余リスク
- CISOと事業責任者の役割分担
- リスク受容のガバナンス
- 悪いKPIと良いKPI
- STRIDEとチェックリスト化の罠
- 経済産業省・国家サイバー統括室のガイドライン
- AI時代の脅威モデリング
脅威モデリングの本質は、未来の攻撃を完璧に予言することではありません。
自社にとって絶対に起きてはいけない結果は何か。
どこに信頼境界があるのか。
誰が、どの目的で、どの経路から攻撃してくるのか。
どのリスクを設計段階で消すのか。
残ったリスクを誰が引き受けるのか。
これらを、システムが完成する前に考えるためのプロセスです。
完成した家の窓や鍵を後から調べるのが脆弱性診断だとすれば、脅威モデリングは、最初の設計図の段階で「泥棒が届かない位置に窓を置く」「火事が広がらない区画を作る」ための作業です。
最新のEDRやゼロトラスト製品を導入しても、構造的な欠陥は後から簡単には直せません。
だからこそ重要なのは、攻撃者の視点から逆算し、事業への影響を基準に設計することです。
金銭目的の犯罪者は、早く利益を得るためにランサムウェアで業務を止めます。
国家支援型の攻撃者は、気づかれないように長期間潜伏し、設計図や知的財産を少しずつ盗みます。
同じ侵入口でも、相手によって必要な防御は変わります。
そして、どれだけ対策しても最後には残留リスクが残ります。
そのリスクを受け入れるのは、CISOだけではありません。
そのシステムで利益を得る事業責任者、経営層が、条件と期限を明確にして引き受ける必要があります。
脅威モデリングは、IT部門だけの作業ではありません。
不確実なリスクに名前をつけ、優先順位をつけ、誰が責任を持って前に進むのかを決めるための、経営の思考技術です。
感想
まだ感想はありません。最初の1件を書きましょう！