入門編#24丨脅威モデリングとは何か——攻撃者の行動から逆算するセキュア・バイ・デザイン

<p>脅威モデリングとは、サイバー攻撃の手口をただ並べる作業ではありません。</p><p><br /></p><p>本エピソードでは、脅威モデリングとは何か、なぜ経営者や事業責任者に必要なのかを解説します。</p><p><br /></p><p>取り上げる主なテーマ</p><p><br /></p><p>- 脅威モデリングとは何か</p><p>- セキュア・バイ・デザイン</p><p>- 脆弱性診断・ペネトレーションテストとの違い</p><p>- OWASPの4つの問い</p><p>- 守るべき資産ではなく「許容できない結果」から考える</p><p>- 信頼境界（Trust Boundary）</p><p>- 攻撃者の期待利益</p><p>- 金銭目的の犯罪者と国家支援型攻撃者の違い</p><p>- ランサムウェアと知的財産窃取</p><p>- 多層防御</p><p>- 残留リスク・残余リスク</p><p>- CISOと事業責任者の役割分担</p><p>- リスク受容のガバナンス</p><p>- 悪いKPIと良いKPI</p><p>- STRIDEとチェックリスト化の罠</p><p>- 経済産業省・国家サイバー統括室のガイドライン</p><p>- AI時代の脅威モデリング</p><p><br /></p><p>脅威モデリングの本質は、未来の攻撃を完璧に予言することではありません。</p><p><br /></p><p>自社にとって絶対に起きてはいけない結果は何か。</p><p>どこに信頼境界があるのか。</p><p>誰が、どの目的で、どの経路から攻撃してくるのか。</p><p>どのリスクを設計段階で消すのか。</p><p>残ったリスクを誰が引き受けるのか。</p><p><br /></p><p>これらを、システムが完成する前に考えるためのプロセスです。</p><p><br /></p><p>完成した家の窓や鍵を後から調べるのが脆弱性診断だとすれば、脅威モデリングは、最初の設計図の段階で「泥棒が届かない位置に窓を置く」「火事が広がらない区画を作る」ための作業です。</p><p><br /></p><p>最新のEDRやゼロトラスト製品を導入しても、構造的な欠陥は後から簡単には直せません。</p><p><br /></p><p>だからこそ重要なのは、攻撃者の視点から逆算し、事業への影響を基準に設計することです。</p><p><br /></p><p>金銭目的の犯罪者は、早く利益を得るためにランサムウェアで業務を止めます。</p><p>国家支援型の攻撃者は、気づかれないように長期間潜伏し、設計図や知的財産を少しずつ盗みます。</p><p><br /></p><p>同じ侵入口でも、相手によって必要な防御は変わります。</p><p><br /></p><p>そして、どれだけ対策しても最後には残留リスクが残ります。</p><p><br /></p><p>そのリスクを受け入れるのは、CISOだけではありません。</p><p>そのシステムで利益を得る事業責任者、経営層が、条件と期限を明確にして引き受ける必要があります。</p><p><br /></p><p>脅威モデリングは、IT部門だけの作業ではありません。</p><p><br /></p><p>不確実なリスクに名前をつけ、優先順位をつけ、誰が責任を持って前に進むのかを決めるための、経営の思考技術です。</p>