入門編#24丨脅威モデリングとは何か——攻撃者の行動から逆算するセキュア・バイ・デザイン

脅威モデリングとは、サイバー攻撃の手口をただ並べる作業ではありません。 本エピソードでは、脅威モデリングとは何か、なぜ経営者や事業責任者に必要なのかを解説します。 取り上げる主なテーマ - 脅威モデリングとは何か - セキュア・バイ・デザイン - 脆弱性診断・ペネトレーションテストとの違い - OWASPの4つの問い - 守るべき資産ではなく「許容できない結果」から考える - 信頼境界（Trust Boundary） - 攻撃者の期待利益 - 金銭目的の犯罪者と国家支援型攻撃者の違い - ランサムウェアと知的財産窃取 - 多層防御 - 残留リスク・残余リスク - CISOと事業責任者の役割分担 - リスク受容のガバナンス - 悪いKPIと良いKPI - STRIDEとチェックリスト化の罠 - 経済産業省・国家サイバー統括室のガイドライン - AI時代の脅威モデリング 脅威モデリングの本質は、未来の攻撃を完璧に予言することではありません。 自社にとって絶対に起きてはいけない結果は何か。 どこに信頼境界があるのか。 誰が、どの目的で、どの経路から攻撃してくるのか。 どのリスクを設計段階で消すのか。 残ったリスクを誰が引き受けるのか。 これらを、システムが完成する前に考えるためのプロセスです。 完成した家の窓や鍵を後から調べるのが脆弱性診断だとすれば、脅威モデリングは、最初の設計図の段階で「泥棒が届かない位置に窓を置く」「火事が広がらない区画を作る」ための作業です。 最新のEDRやゼロトラスト製品を導入しても、構造的な欠陥は後から簡単には直せません。 だからこそ重要なのは、攻撃者の視点から逆算し、事業への影響を基準に設計することです。 金銭目的の犯罪者は、早く利益を得るためにランサムウェアで業務を止めます。 国家支援型の攻撃者は、気づかれないように長期間潜伏し、設計図や知的財産を少しずつ盗みます。 同じ侵入口でも、相手によって必要な防御は変わります。 そして、どれだけ対策しても最後には残留リスクが残ります。 そのリスクを受け入れるのは、CISOだけではありません。 そのシステムで利益を得る事業責任者、経営層が、条件と期限を明確にして引き受ける必要があります。 脅威モデリングは、IT部門だけの作業ではありません。 不確実なリスクに名前をつけ、優先順位をつけ、誰が責任を持って前に進むのかを決めるための、経営の思考技術です。