IT資格用語解説情報処理安全確保支援士試験・仮
脅威モデリング
更新日:
用語解説
脅威モデリング は、システムの構成、データフロー、信頼境界、資産を整理し、設計段階で脅威と対策を洗い出す活動です。
■ 試験で押さえるポイント
実装後の診断だけではなく、設計の判断にセキュリティを組み込みます。
■ 基本手順 保護する資産とセキュリティ目標を決める。
データフロー図などで構成要素と信頼境界を可視化する。
STRIDEなどを使って脅威を列挙し、リスクを評価する。
対策を設計し、前提や残留リスクを記録して変更時に見直す。
脅威モデリングは一度だけ行う作業ではありません。
要件・設計・実装の変更に合わせて更新し、リスクアセスメントやセキュリティテストへつなげます。