脅威モデリングの共通性、完璧を求めないこと

■誤解2：異なる種類のアプリケーションには異なる脅威モデリングを行わなければならない 私たちが話をしたセキュリティ実務者たちは皆、モノリシックなアプリケーション、APIの集合、IoT（モノのインターネット）デバイス、クラウドにデプロイされたアプリケーション、オンプレミスにデプロイされたアプリケーションなど、モデリングする対象が何であれ、脅威モデリングの構造とプロセスはすべて同じであると口にしていた。これは、全ての製品チームに対して単一の脅威モデリング手法を適用できるため、セキュリティリーダーにとって非常に有益である。 「製品は何をするのか？　どのようなデータを扱うのか？　何が問題になり得るか？　それについて何ができるか？」といった、脅威モデリング中に尋ねられる最も重要な質問は、アーキテクチャや形式、デプロイメント環境に依存しない。これらの質問への答えはアプリケーションの種類によって異なるが、それが脅威モデリングの実施方法を変えるわけではない。 ■誤解3：すべての脅威を識別できない脅威モデルには欠陥がある 脅威モデリングの目標に対する期待を適切に設定しないと、「完璧」（perfect）が「良いもの」（good）の敵になってしまう。多くのセキュリティツールやプロセスと同様に、脅威モデリングは将来存在し得るすべての脅威を見つけ出すべきだという、絶対的な期待が抱かれることがある。しかし、私たちが話をした実務者たちは、脅威モデリングの本質は製品をより良くすることにあると強調していた。全ての脅威を見つけられなかったからといって脅威モデリングを失敗と見なすべきではない。むしろ、脅威モデリングは「多層防御（defense in depth）」の一環として活用し、製品ライフサイクルの初期段階で重要なセキュリティ上の懸念を特定し、対処するために役立てるべきである。