Cloud Security Alliance がクラウド脅威モデリングを促進するためのガイドを公表していますね。。。

こんにちは、丸山満彦です。

Cloud Security Alliance がクラウド脅威モデリングを促進するためのガイドを公表していますね。。。

クラウドの普及により、従来の脅威モデルでは十分に対応できない部分も増えてきたので、クラウドを利用する際の脅威モデルを作成することの重要性を強調し、各企業が独自にそれができるようにするために開発されたようですね。このガイドでは、クラウドの脅威モデルを作成するためのカード（脅威、脆弱性、資産、統制）と参照モデルを掲載しており、企業が独自のクラウドの脅威モデルを作成することで、リスク管理プロセスに磨きをかけ、その過程でサイバーセキュリティプログラム全体を成熟させることができるということのようです。

ユニークな取り組みと思いました。。。

● Cloud Security Alliance

・2021.07.29 Cloud Security Alliance Releases Guide to Facilitate Cloud Threat Modeling - Document provides tangible exercise for organizations to create their own cloud threat model

SEATTLE – July 29, 2021 – The Cloud Security Alliance (CSA), the world’s leading organization dedicated to defining standards, certifications and best practices to help ensure a secure cloud computing environment, today released its latest guide, Cloud Threat Modeling. Written by the CSA Top Threats Working Group, the document provides cloud and security practitioners responsible for system preparedness with critical guidance on conducting threat modeling for cloud applications, their services, and surrounding security decisions. To facilitate the exercise, the guide features cloud threat modeling cards (Threat, Vulnerability, Asset, and Control) and a reference model that organizations can use to create their own cloud threat model, thereby honing their risk management process and maturing their overall cybersecurity program in the process.	2021年7月29日、シアトル発 - 安全なクラウドコンピューティング環境を実現するための標準規格、認証、ベストプラクティスの策定に取り組む世界有数の組織であるクラウドセキュリティアライアンス（CSA）は、本日、最新のガイド「Cloud Threat Modeling」を発表しました。CSA Top Threats Working Groupによって作成された本ガイドは、システムの準備を担当するクラウドおよびセキュリティの実務者に、クラウドアプリケーションやそのサービス、周辺のセキュリティに関する意思決定のための脅威モデルの実施に関する重要なガイダンスを提供します。本ガイドでは、クラウドの脅威モデルを作成するためのカード（脅威、脆弱性、資産、統制）と参照モデルを掲載しており、企業が独自のクラウドの脅威モデルを作成することで、リスク管理プロセスに磨きをかけ、その過程でサイバーセキュリティプログラム全体を成熟させることができます。
Threat modeling is an essential practice for software and systems security — doubly so for cloud software, systems, and services — and it’s imperative that organizations develop a structured and repeatable approach for modeling threats in order to successfully anticipate and mitigate cyberattacks.	脅威のモデル化は、ソフトウェアやシステムのセキュリティに不可欠な手法であり、クラウドのソフトウェア、システム、サービスにおいては特に重要です。サイバー攻撃を予測し、軽減するためには、脅威をモデル化するための構造的で反復可能なアプローチを開発することが不可欠です。
“The fast pace of cloud adoption has surpassed some security methodologies that were honed over the course of 40 years of information technology development. Threat modeling is one of those security methodologies that, unfortunately, hasn’t kept pace with the rate of cloud adoption. As such, there is a great deal of benefit to be had in aligning the critical practice of threat modeling with cloud services, technologies, and models. This guide serves to close the gap and set enterprises off on their own threat modeling journey,” said Alex Getsin, co-chair, Top Threats Working Group and the paper’s lead author.	「クラウドの急速な普及に伴い、40年以上にわたる情報技術の発展の中で培われてきたいくつかのセキュリティ方法論は、もはや通用しなくなっています。脅威のモデル化は、残念ながら、クラウドの導入速度に追いついていないセキュリティ手法の一つです。そのため、脅威モデルの重要な実践を、クラウドのサービス、テクノロジー、モデルに合わせることで、大きなメリットを得ることができます。このガイドは、このギャップを解消し、企業が独自の脅威モデリングの道を歩むためのものです」と、トップスレットワーキンググループの共同議長であり、本文書の主執筆者であるAlex Getsinは述べています。

 ・[PDF] Cloud Threat Modeling

目次

Introduction	はじめに
Purpose	目的
Target Audience	想定読者
Key Takeaways	主な論点
Threat Modeling	脅威モデリング
Cloud Threat Modeling	クラウド脅威モデリング
Is the Purpose of Cloud Threat Modeling Different?	クラウド脅威モデリングの目的は異なるのか？
Cloud Threat Modeling Process	クラウド脅威モデリングのプロセス
Creating a Cloud Threat Model	クラウド脅威モデルの作成
Conclusions	おわりに
References	参考文献
Appendix 1: Threat Modeling Reporting Detailed Guidance	附属書1：脅威モデル報告書詳細ガイダンス
Appendix 2: Cloud Threat Modeling Cards	附属書2：クラウド脅威モデリングカード

Core Threat Modeling Activities:	主要な脅威モデリング活動
1. Identify threat modeling security objectives for the threat modeling exercise, focusing on critical aspects such as confidentiality, integrity, availability, and privacy, e.g.,	1. 機密性、完全性、可用性、プライバシーなどの重要な側面に着目して、脅威モデル演習のセキュリティ目標を特定する。例えば、以下の事項。
a. protect the company’s databases containing customer or regulated information from external attackers;	a. 顧客情報や規制された情報を含む会社のデータベースを、外部の攻撃者から保護する。
b. ensure high availability for the e-commerce web application; and	b. E コマース用 Web アプリケーションの高可用性を確保する。
c. select a cloud application model with the least attack surface or customer security responsibility.	c. 攻撃対象や顧客のセキュリティ責任が最も少ないクラウドアプリケーションモデルを選択する。
2. Set the scope of the assessment with respect to the systems and/or cloud infrastructure under consideration by providing an overview of the system or cloud application. This typically covers areas such as the various organizational assets, including technology stack used, existing security controls, deployment scenario, type of users, and any specific security or regulatory requirement which needs to be addressed in the threat modeling.	2. システムまたはクラウドアプリケーションの概要を説明することにより、検討中のシステムやクラウドインフラストラクチャに関する評価の範囲を設定する。一般的には、使用されている技術スタックを含む様々な組織資産、既存のセキュリティ管理、展開シナリオ、ユーザの種類、脅威モデルで対処する必要のある特定のセキュリティ要件または規制要件などの分野をカバーする。
3. System/application decomposition covers breaking down the system into subsystems and examining the interaction among the various components. The key activities done in this phase are:	3. システム／アプリケーションの分解では、システムをサブシステムに分解し、さまざまなコンポーネント間の相互作用を検証する。このフェーズで行われる主な活動は以下のとおりである。
a. Understand trust boundaries (external and internal facing, privileged, unauthenticated, etc.).	a. 信頼の境界を理解する（外部と内部の境界、特権、未認証など）。
b. Identify input and egress to the system (input and output), as well as data format.	b. システムへの入力と出力、およびデータフォーマットを特定する。
c. Map the data flows in the system/s.	c. システムにおけるデータフローをマッピングする。
4. Identify and rate the potential threats; that is, identify the threats, type of attacks, and how the given system or its functionalities can be misused by a malicious user. Some of the common threats are related to unauthorized access, denial of service, information disclosure, etc. The severity of the threat can be rated by using a framework such as DREAD3 .	4. 潜在的な脅威を特定し、評価する。すなわち、脅威、攻撃の種類、および悪意のあるユーザーによ って与えられたシステムまたはその機能がどのように悪用されるかを特定する。一般的な脅威には、不正アクセス、サービス拒否、情報開示などに関するものがある。脅威の深刻度は、DREAD3のようなフレームワークを使用して評価することができる。
5. Identify weaknesses and gaps in the system design and components to aid the security decisions and define the scope and nature of security testing.	5. セキュリティに関する意思決定を支援するために、システム設計やコンポーネントの弱点やギャップを特定し、セキュリティテストの範囲や性質を定義する。
6. Design and prioritize mitigations and controls applicable to the predetermined threats and reflect on how those controls would reduce the threat or risk level.	6. 事前に設定した脅威に適用可能な緩和策および管理策を設計して優先順位をつけ、それらの管理策がどのように脅威またはリスクレベルを低減するかを反映する。
7. Communicate and create call to action: Communicate the identified threats, their potential impact and severity, as well as the applicable and proposed controls. Make the modeling data and insights available and call to the action of threat mitigation by design or effect.	7. 伝達と行動喚起を行う。識別された脅威、その潜在的な影響および重大性、ならびに適用可能な対策および提案された対策を伝えること。モデル化されたデータと洞察を利用可能にし、設計または効果による脅威の緩和という行動を呼びかける。