セキュリティ 101: 脅威モデルとは何か、そしてそれをどのように作成するのか?

プライバシーやセキュリティに関するフォーラムに長くいると、「脅威モデル」という言葉に出会うでしょう。ここでは、そこで何が言われているのか、そしてどのように作成するのかを説明します。

脅威モデル

プライバシーに関しては、「自分のデータを誰から、あるいは何から守っているのか」と自問自答してみるのが効果的です。脅威モデルとは、自分が所有するもの、それらに対する潜在的な脅威、そしてそれらの脅威に対する防御策をリストアップすることです。これは、物理的な商品やデジタルデータに対して行うことができます。

脅威モデルは時間の経過とともに変化するため、定期的に見直すことが重要です。ハッカーからデータを守りたい場合もあれば、政府からデータを守りたい場合もあります。完璧な脅威モデルは不可能ですが、基本的なモデルを作成することは可能です。私たちが対応できる内容は以下のとおりです。

私のデータは何ですか?
何が問題になるのでしょうか?
私に何ができる？

脅威モデルのマインドマップ

私のデータとは何ですか?

まず、コンテンツとその保存場所をリストアップしましょう。例としては、Apple Notesのメモ、iCloud Driveのファイル、写真アプリの写真や動画などが挙げられます。iCloudをご利用でない場合、データはデバイス上に残ります。iCloudをご利用の場合、データはAppleのサーバー上に保存されます。

何が問題になるのでしょうか?

では、そのデータを脅かすものは何でしょうか？おそらく最大のものは「クラウド」そのものです。企業のサーバーにデータを保存してしまうと、私たちはそのデータに対するコントロールを失います。Appleのサービスが時折停止したり、先週Google Cloudが停止したり、わずか3日前にWordPressが停止したりしたのを見れば、このことが分かります。たとえ事故であっても、あなたのデータは人質に取られているのです。どうすればこの状況を変えることができるのでしょうか？

私に何ができる？

最も明白な解決策は、クラウドにアップロードしないことです。しかし、クラウドは便利な場合もあります。これは最終的にはご自身で判断する必要があります。2つの解決策は、アップロード前にデータを暗号化するか、オフラインでバックアップすることです。データを暗号化することで、ハッカー、政府、悪意のある企業従業員などの脅威からデータを保護できます。

Xkcd セキュリティコミック