リスクを見積もる
脅威モデリングでWebアプリのセキュリティを強化する
周辺的なセキュリティのみに頼っていては、アプリケーションのセキュリティは保てない。
企業の情報セキュリティ責任者は、保護しなければならないアプリケーションが実際どのように機能しているのかをきっちり理解していないことが多い。その結果、度を超したセキュリティコントロールが導入されたり、情報セキュリティが業務上のメリットどころか妨げになると見られがちな一因となる。一方で、開発者は時に、自分がアプリケーションに組み込みたいと思う機能がセキュリティ上どんな影響を与えるかを理解していない。
セキュリティ対使い勝手の問題を解決するため、ほとんどの情報セキュリティ関係者は、ソフトウェア開発ライフサイクルにおけるセキュリティを業界として強化する必要があるとの認識で一致している。このプロセスの一環として、多数の開発チームが脅威モデリングに着手している。
脅威モデリングのメリット
脅威モデリングによって開発者のセキュリティに対する意識が高まるだけでなく、アプリケーション設計と開発プロセスの一部としてアプリケーションセキュリティが組み込まれる。情報セキュリティ担当者と開発担当者の知識のギャップを埋める一助としても優れている。
脅威モデリングはアプリケーション設計の段階で実行され、アプリケーションにとってのリスクを発見・評価する。アプリケーションにとっての潜在的脅威を見つけるため、アプリケーションがどんな資産や重要情報にアクセスするかを分類することも、これに含まれる。結果として、リリースバージョンまで残ってしまう脆弱性の数が減らせれば理想的だ。また、ソフトウェア設計のライフサイクルが進むほどセキュリティ問題対応のコストもかさむため、脅威モデリングはより良い製品の開発と顧客のアプリケーションに対する信頼向上に役立つだけでなく、予算的にもメリットがある。
ツールと手段
脅威モデリングでアプリケーションを通したデータの流れを解明するデータフローのアプローチを採用すれば、主要プロセスとそのプロセスにとっての脅威を洗い出すことができる。セキュリティ専門家と開発者を協力させることにより、攻撃者の視点からアプリケーションを分析しやすくなる。
このアプローチは、新しいアプリケーションに対するユーザーのニーズを収集し、アプリケーションのアーキテクチャと設計に取り掛かった時点で導入するのが最も望ましい。このプロセスにより、早い段階でアーキテクチャ設計の問題が解決され、アプリケーションのセキュリティ上のニーズを洗い出して根拠を示す文書が作成できるだけでなく、攻撃側の論理と手段、および脆弱性を取り除く方法について、関係者すべてが理解を深める一助にもなる。
こうしたアプローチに加え、脅威モデリングの手法を確実に維持するために企業が利用できるツールもある。例えばMicrosoftの脅威モデリングツールは、開発チームが適切なデータポイント、資産、信頼レベル、データフローチャート、脅威、脆弱性を整理し、脅威モデルとして文書化する作業を手助けしてくれる。これに基づき、例えばデータ認証や暗号化といった適切な対策措置の導入・検証を行って、アプリケーションから重要情報や個人情報が流出し、攻撃者の手に渡らないことを確認できる。テストには、アプリケーションに有効なデータと無効なデータを送って適切に処理できるかどうかを検証する侵入テストや、ファジング（fuzzing：入力データを自動生成し、バグを検出するテスト手法）がある。
周辺的なセキュリティのみに頼っていては、アプリケーションのセキュリティは保てない。脅威モデリングプロセスの利用により、セキュリティが最初からアプリケーションに組み込まれ、耐性が強化されてサポート経費を減らすことが同時に保証される。セキュリティが事業上のメリットとなることを経営陣に示す上でも、脅威モデリングは絶好の機会を提供してくれる。
本稿筆者のマイケル・コッブ氏は、データセキュリティおよび解析に関するトレーニングやサポートを提供するITコンサルティング会社、Cobweb Applicationsの創業者でマネージングディレクター。CISSP-ISSAP（公認情報システムセキュリティプロフェッショナル／情報システムセキュリティアーキテクチャプロフェッショナル）の資格を持つ。共著書に「IIS Security」（McGraw-Hill/OsborneMedia）がある。
TechTargetジャパンへのご登録はお済みですか？
**「TechTargetジャパン」メンバーシップのご案内**
会員登録を行うことで、300点以上の技術資料がそろったホワイトペーパーや興味・関心分野ごとに情報を配信するメールマガジン、ITmediaや＠ITの特集記事がPDFでまとまって読める電子ブックレットなど、各種サービスを無料で利用できます。**会員登録（無料）はこちらから**
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
技術文書・技術解説
[Jamf Japan 合同会社] MDMだけでモバイルセキュリティは十分？ 不足する対策を16項目でチェック -
事例
[Wrike Japan 株式会社] 世界的な家電メーカーが実践する「クリエイティブプロセス効率化」の方法とは？ -
事例
[Wrike Japan 株式会社] 世界的テクノロジー企業に学ぶ、プロセス標準化とプロジェクト納品自動化の秘訣 -
事例
[Wrike Japan 株式会社] ソニー・ピクチャーズ テレビジョンに学ぶ、次世代サービスデリバリーのヒント -
事例
[Wrike Japan 株式会社] ソミック石川に学ぶ、ICT浸透後に直面した「工数管理」の課題と解決策
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「Copilot」はなぜ放置される？ “議事録要約止まり”を脱する処方箋
-
2
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
3
「データストレージの活用方法」に関するアンケート
-
4
【基本情報技術者試験】「デュプレックスシステム」と「デュアルシステム」の違いは？
-
5
AI全部入り「Microsoft 365 E7」に企業が二の足を踏む訳 移行意向はわずか4％
-
6
「Microsoft一択」で本当にいいのか 知らぬ間にライセンス費用が膨らむ真相
-
7
Oracle巨大ITプロジェクトはなぜつまずいたのか 8年で導入1割、追加で170億ドル
-
8
「プログラマー不要論」にThe Linux Foundationが示した答え
-
9
ANAが専用回線から移行した「NaaS」の全貌 ネットワーク準備が数カ月から数週間に
-
10
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
ホワイトペーパーランキング PR
-
1
マンガで解説：「ゼロトラスト」「SASE」の必要性とメリット
-
2
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
3
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
4
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
5
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
6
国税庁の次世代基幹システム「KSK2」稼働開始に向けて、対応すべき変更点とは？
-
7
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
8
ドラマで分かる、標的型攻撃メールの被害を受ける企業と回避できる企業の分岐点
-
9
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
10
少額減価償却資産が40万円未満へ拡大、令和8年度税制改正で押さえるべき変更点
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー