セキュリティ設計書

セキュリティ設計が効かなくなる最大の原因は、★対策から書き始めることです。「FWを入れる」「多要素認証を入れる」と製品と機能を並べても、何の脅威に対してかが書かれていないと、効いていない対策に金を払い、効くべき脅威が抜けます。本書は 守る対象（情報資産）→ 脅威 → 対策 の順でしか書けない構成にしました。脅威と対策の対応表が中核で、対策を打ってなお残るものは★残存リスクとして「受容した人・理由・見直し時期」つきで残します。対策ごとに「効かなくなる条件」を書かせる対策一覧、信頼境界の定義、インシデント時の判断基準と報告先つき。

★対策から書き始めないでください。2章（守る対象）→ 4章（脅威）→ 5章（対策）の順で埋めます。逆から書くと、何に効いているか説明できない対策が並びます。機密性・完全性・可用性は資産ごとに付けてください。3つとも「高」が並ぶ場合は基準がずれています。バックアップを資産に入れるのを忘れがちです——本体と同じ機密度なのに保管場所の管理が緩いことが多く、そこが狙われます。★脅威の「対策」欄を空にしないでください。空なら脅威を認識しただけで何もしていない状態です。打たないと決めたなら「受容」と書き、残存リスクとして登録します。★6章（残存リスクと受容）は削除しないでください。守り切れないものが無い設計は存在せず、書かないことは「受容していない」ではなく「気づいていない」を意味します。受容した人を必ず書いてください——「会社として受容した」では事故のときに誰も説明できません。対策には「効かなくなる条件」を書いてください。一時的な許可を戻し忘れる、棚卸しが形式化する、ログを取るだけで誰も見ない——どれも悪意なく起きます。パスワード・鍵・トークンの値は本書に書かないでください。