一時間での脅威モデル

四つの質問

何を守っているか。顧客データ、お金、可用性、評判。すべてが同じ価値ではない。

誰から。自動スキャナー、ランダムな攻撃者、競合他社、インサイダー、侵害されたパートナー。それぞれ異なる能力を持つ。

境界はどこか。データが信頼ゾーンを越えるすべての場所：ブラウザからサーバー、サーバーからデータベース、システムからベンダー。

もし～したら何が起きるか。三つの悪いシナリオを各一行で説明し、ダメージと可能性でランク付けする。

話す前に描く

コンポーネントとそれらの間の矢印の簡単なスケッチは、どの議論よりも多くを明かす。各矢印は質問だ：誰が誰を認証するか、何が暗号化されているか、何がログに記録されるか。

成果物

五つのランク付けされたリスクと各々への提案されたアクションを持つ一ページ。始めるのに十分で、ほとんどのシステムが持つ以上だ。