①アジャイル脅威モデリング
スクラムやXPから共通項を抽出したのが、アジャイルマニフェスト。
スクラムは一番有名なフレームワーク。テスト駆動開発も同じ粒度のフレームワーク。
デイリースクラムとOODAループ。
クリティカル・ラテラル・ロジカル 帰納・演繹・アブダクションなどの推論 仮説思考
制約理論 マーケ戦略フレームワーク ECRS
・脅威モデリングの振り返り
セキュリティは後から考えると指数関数的にコストかかる ⇒ 企画段階から脅威モデリングをやってもいい 匠メソッド×脅威モデリング
なぜセキュリティを実装するのか？の共通認識を取るため。RDRAみたいなもの
脅威モデリングマニフェスト、定期的に復習する。
※振り返りの際に、その結果を脆弱性診断⇒SWOTモデルの方に必ず反映する。各事業に閉じてしまって、経営の方までボトムアップできていない。
会社の文化の常識にしてしまう。 それができているのが、freeeのようなテスト再利用とかだと思う。
・脅威モデリングの罠
※ 前提条件ツリーを作成し、事前に副作用を１企業というレベルからSWOTモデルまで反映。 ⇒ 脅威モデリングの方針に反映するのでは？
フレームワークの罠は、現状問題ツリーの負のサイクルを表現している。
これっていまの〇案件の、表面上のデータの一貫性がないから、一元管理基盤を作成するという案件のことを表している。
罠にはまらないようにするには？
⇒ アジャイル脅威モデリング
・アジャイル脅威モデリング
価値と原則も交わっている マインドマップ
似ているからわなから逃れる方法も一緒というアナロジー展開をしている。
ゴールは常に変化する、でも目的は変化しない。 ゴールを５フォースやSWOT、7Sから変化させていく。そのロードマップを描く。
①意義のあるものにする ATTに全く似ている メカニズムは全く一緒
真因への打ち手として、脅威モデリングが効果的なら行ってみる。
(目的ドリブン × TOC 仮説行動で真因を見つけることが大事)
②自分のものにする
１ 顧客から始める
２ 早期から頻繁にコラボ チートポ
３ 不確実性を計画する 仮説マップの作成
Q & A
・業務委託など雇用形態の文脈の違いで、アジャイルモデリングでの密な連携が難しい。 ⇒ 動かせないものは定数と見なして、ハイブリッド型連携アーキテクチャを考える。
・PBIに起こした際に、どういう形で受け入れ条件定義するのか レビューしていくのか？
・アジャイル脅威モデリングの実践例
どのステークホルダーの価値を最優先しようかの計画をスプリント計画で考えている
要は、イシューと考えられるステークホルダー脅威を定義している。
１，顧客から始める
ユーザーストーリの書き方 の工夫 価値記述と一緒に脅威記述をしている。
誰が 何をしたい なぜそれを必要か without その際に避けたいリスク
２、早期から頻繁にコラボレーション
軽量な脅威モデリング
３、脅威モデリングのやり方自体の振り返りもする
バックログも外部環境変化などに合わせて柔軟に変えていく 柔軟に変えられやすい仕組みを盛り込んでおく。 関心分離×脅モデリング RDRA脅威モデリング
SECIモデル × リスクナレッジ 👈 freeeのリスク対策再利用
・最初は小さく イシューのみに ビジネス目標に繋げるためにセキュリティ戦略
セキュリティチャンピオンプログラム 評価制度に脅威モデリングで貢献した者への成果報酬などの仕組みを盛り込む
セキュリティ専門家は、脅威イネイブリングモデラーとして、ストリームアラインドチームをファシリテーション支援する(ティーチング、コーチング)
脅威モデリング×価値デザイン ストーリテリング
価値記述×脅威ストーリの部分、自分たちが優先的に価値を届けたいと思っているエンドユーザーさんにとっての価値を起点に、
それを実現する際のwithoutを定義し、その要求に対してwithoutにかかるコストが大きすぎるのなら(自社のアーキテクチャ大幅に変えるとか)、
一旦はその中で優先度も実現ども高いものだけにするなどを計画段階で考えるとかする。それがセキュリティ戦略。
個人メモ：illitiesによって、基盤に求められるアーキテクチャは異なってくる。illitiesは、あらゆる構成アプリコンポーネントにまたがっている。
②PESTEL分析と脅威モデリング わたしの様々な視点の脅威モデリングと関係性が密
絞り込み思考×PESTEL
日経市場という具体なPESTELと、世界というマクロなPESTELとの行き来による外部環境分析
・Legal Factors：個人情報保護法などの法律系、エンタメとかならR指定とか
PESTELは、互いに独立したものではなく、関連しあっているもの。
だから、多角的に評価した上で。脅威への対策が、他の要素に対して反していてはいけない。
刺激的な面白さを強く求めるニーズを持つエンドユーザーさんに対して、強く刺さるものであっても、それが法律に反してたらダメとか。
業界標準のセキュリティポリシー ← それを継承した企業独自のセキュリティポリシー ← 事業のセキュリティポリシーがそれに反していてはいけない。
※Webで脅威モデリングを行うことによって起こる脅威