ビジネスプロセス内のセキュリティ上の考慮事項

導入

サイバーセキュリティの脅威は、より多くの組織がデジタルの進歩を利用するにつれてエスカレートしています。これは、サイバー犯罪者が事業運営の弱点を利用し、セキュリティをすべてのシステム設計の重要な要素とするためです。サイバー犯罪者は、ビジネスプロセスの弱点を継続的に活用して、機密データを保護することがすべてのシステム設計に重要です。ビジネスアナリスト（BAS）は、セキュリティの問題ができるだけ早くビジネスプロセスに固定されるようにするために重要です。セキュリティリスクを排除する最良の方法の1つは、脅威モデリングを使用することです。これは、企業でのシステム運用の実施中に関連するリスクを減らすための最良の戦略の1つです。

概して、脅威モデリングは、アナリストがビジネスプロセス内のセキュリティリスクに対処するために適用できる効果的な方法論です。この手法により、BASはセキュリティおよび開発チームとより効果的に連携して、プロセスが安全で準拠し、適切に設計されていることを確認できます。このアプローチにより、BASはセキュリティチームや開発者とシームレスに作業し、プロセスが安全で、準拠し、適切に設計されていることを確認するのに役立ちます。脅威モデリングとは、潜在的なリスクから保護するために、特定のシステムで敵を特定するプロセスです。脅威テンプレートと呼ばれることもあります。これは、事業の懸念領域を強調するのに役立ちます。この領域は、脅威を奪おうとしたり、捕まえたりするために、激しい精査の対象となります。

セキュリティの脅威を防ぐために、この記事では、ビジネスアナリストに脆弱な検出アプローチの概要と、企業規模の方法論とそのアプリケーションを提供します。目標は、積極的な脅威がビジネスベンチャーを攻撃し、結果を評価し、費用と脅威を緩和するための戦略を策定する方法を想定することです。

ビジネスアナリストが脅威モデリングを実践する必要がある理由

ビジネスアナリストは、ビジネスニーズ、ワークフローのドラフト、およびビジネスプロセスを合理化することを収集して分析することが期待されています。設計段階では、セキュリティへの不注意は、展開後の災害を綴ることができます。これらの可能性のある結果には、金銭的および評判の損害のデータ損失、財政的および法的罰則による規制違反、および事業運営を損なうビジネスサイバー停止が含まれます。ビジネスアナリストは、脅威モデリングを分析に組み込むことができ、ビジネスプロセスがGDPR、CCPA、PCI-DSSなどのサイバーセキュリティの法的枠組みの中で敏感なデータになるように設計され、安全性とビジネス目標を同期して不健康なセキュリティ支出の可能性を減らすことができます。実装後。

脅威モデリングテクニックビジネスアナリストは知っておくべきです

他の多くの分野と同様に、ビジネスアナリストが脅威モデリングを実施する際に採用できるいくつかのベストプラクティスがあります。以下は、より人気のあるもののいくつかです。

• ストライド （スプーフィング、改ざん、拒否、情報の開示、サービスの拒否、特権の高さ）。 StrideはMicrosoftによって開発されたフレームワークであり、アナリストがセキュリティに脅威を次の6つの基本カテゴリに入れて使用しています。これにより、ビジネスアナリストは、ビジネスプロセスの各レベルでワークフローを系統的に分析し、潜在的な脆弱性を検出できます。スプーフィングは、ユーザーまたはシステムの不正ななりすましです。改ざんは、データまたはプロセスの不正な操作です。拒否は、悪意のある行為に対する説明責任の欠如、情報の開示は機密データへの不正アクセス、サービス拒否（DOS）はサービスの可用性の混乱であり、特権の高さはユーザー特権の不正なエスカレーションです。

• パスタ （攻撃シミュレーションと脅威分析のプロセス）は、セキュリティと商業目標を統合するリスク中心の脅威モデリング方法論です。 7つの階層段階で構成されています。まず、重要なビジネス資産を特定することにより、ビジネス目標を定義することです。次に、テクノロジーの依存関係と制限を特定することにより、技術的範囲を定義します。次は、ビジネスプロセスの分解とデータフローの識別を伴うアプリケーション分解です。その後、攻撃パターンに基づいて将来の危険を特定することを含む脅威分析が行われます。組織のプロセスの欠陥を特定するための脆弱性分析、攻撃モデリングのモデリングは、脅威の優先順位付けとセキュリティ手順の定義を伴う仮説的な攻撃状況とリスク分析と緩和をシミュレートします。パスタは、セキュリティが重要な場合、金融、ヘルスケア、eコマースなどのリスクの高い分野で働くビジネスアナリストに特に役立ちます。

• 攻撃ツリーSは、攻撃者がシステムまたはプロセスを悪用する方法を表す階層図です。ツリー内の各ノードは、攻撃のフェーズを表し、ビジネスアナリストがさまざまな弱点がどのように交差するかを確認できるようにします。
  以下は、財務記録への不正アクセスを取得するために設計された攻撃ツリーの例です。

目標：金融口座への不正アクセスを取得します。

方法1：フィッシング攻撃。

サブメソッド：ユーザーに不正なメールを送信します。

方法2：資格詰め物。

サブメソッド：以前の違反からリークされた資格情報を使用します。

攻撃ツリーを活用することにより、BASは脆弱性を簡単に識別し、認証ワークフロー、データアクセス、および詐欺検出メカニズムのベクトルを攻撃することができます。

• 恐ろしい （損傷、再現性、悪用可能性、影響を受けるユーザー、発見可能性）は、5つの基準に基づいて脅威が採点される定量的リスク評価モデルです。損害の可能性の影響は、影響がどれほど深刻であるかを評価します。脆弱性を活用するのがどれほど簡単か、影響を受けるユーザーは、脆弱性を見つけるのがどれほど簡単かを発見することを扱う一方で、何人のユーザーが影響を受けるかを計算します。このスコアリングは、ビジネスアナリストがリスクレベルに基づいて脅威を優先し、それに応じて緩和戦略を実施するのに役立ちます。

ビジネスアナリストが脅威モデリングを実施するための手順

ステップ1：ビジネスプロセスの範囲を定義します

• 分析中のビジネスプロセスを特定します。

• 重要な資産、利害関係者、およびデータフローを決定します。

• コンプライアンス要件を評価します（例：ISO 27001、NIST、GDPR）。

ステップ2：データフロー図（DFD）を作成する

• ユーザー、システム、および外部エンティティ間のデータがどのように移動するかをマップします。

• セキュリティゾーン間でデータが移行する信頼境界を特定します。

• 各遷移点で攻撃ベクトルを強調表示します。

ステップ3：フレームワークを使用して脅威を特定します

• セキュリティリスクの各プロセスステップを分析します。

• ストライド、パスタ、または恐怖に基づいて脅威を分類します。

• 潜在的な攻撃シナリオを文書化します。

ステップ4：リスクと影響を評価します

• 各脅威の尤度と重症度を評価します。

• 金融、評判、規制の結果を含むビジネスへの影響を考慮してください。

パスタやドレッドなどのモデルを使用して、リスクの高い脅威に優先順位を付けます。

ステップ5：セキュリティコントロールを実装します

セキュリティベストプラクティスを適用し、ITセキュリティチームと協力してコントロールを検証します。特定されたセキュリティベストプラクティスの一部は次のとおりです。

• 機密データストレージと送信用の暗号化。

• ユーザー認証用のマルチファクター認証（MFA）。

• アクセスを制限するためのロールベースのアクセス制御（RBAC）。

• 不正アクセスを防ぐためのAPIセキュリティ。

ステップ6：監視し、継続的に改善します

• ビジネスプロセスが進化するにつれて、脅威モデルを定期的に確認および更新します。

• 定期的なセキュリティ評価と浸透テストを実施します。

• 新しい脅威インテリジェンスに基づいてセキュリティ対策を適合させます。

ケーススタディ：オンラインバンキングプロセスでの脅威モデリング

ビジネスアナリストは、顧客がアカウント間で資金を譲渡できる新しいオンラインバンキングプロセスを設計しています。 BAはストライドを使用して脅威を特定します。

• スプーフィング：攻撃者は正当なユーザーになりすまします（緩和：MFAおよびデバイスフィンガープリント）。

• 改ざん：トランザクションの詳細の不正な変更（軽減：デジタル署名とトランザクションの確認）。

• 否認：顧客は取引に異議を唱えます（緩和：安全なロギングと監査証跡）。

• 情報開示：不安定なAPI呼び出しを介したデータリーク（緩和：エンドツーエンド暗号化）。

• サービス拒否：銀行サーバーのオーバーロード（緩和：レート制限とDDOS保護）。

• 特権の高さ：不正な管理者アクセス（緩和：ロールベースのアクセスコントロール）。

脅威モデリングを適用することにより、BAは、オンラインバンキングアプリケーションの実装前に、適切に評価および緩和されるセキュリティリスクを保証します。

結論

他の情報システムセキュリティソリューションと同様に、先制脅威モデリングは、ビジネスアナリストが組織のあらゆるレベルでセキュリティを実装できるようにするなど、さまざまな運用や活動を継続的に有効にし、強化します。ビジネスアナリストは、ストライド、パスタ、恐怖、攻撃の木などのテクノロジーを使用して、可能な脆弱性を特定し、軽減できます。これらの技術は、重大な脅威になる前にリスクを軽減するのに役立ちます。

---

著者： ビクトリア・オグンサニャ

ビクトリアは、情報セキュリティ監査、ガバナンスリスクとコンプライアンス（GRC）、インシデント対応、ITサービス提供管理の専門知識を持つ熟練したサイバーセキュリティの専門家です。彼女は、ITオペレーションで10年以上の経験があり、組織がセキュリティポリシーと戦略を推進し、ビジネス目標に合わせてデジタル資産を保護するのを支援することに情熱を注いでいます。