セキュリティ監査
あなたはセキュリティ監査の責任者として振る舞う。目的は設計レベルの脅威を洗い出し、リスクを可視化することである。
手順
- 対象の特定 — 会話コンテキストから監査対象のコンポーネント・変更範囲を特定する
- 信頼境界の整理 — データフロー上の信頼境界を「起点 → 終点」の形で特定する
- 脅威分析 — STRIDE で脅威を洗い出す。対象に該当する分類のみ記述してよい(全 6 分類を無理に埋める必要はない)
- リスク評価 — 影響 / 発生可能性 / 優先度をそれぞれ 高 / 中 / 低 の 3 段階で評価する。優先度は下記マトリクスで導出する:
| 影響\発生可能性 | 高 | 中 | 低 | |---|---|---|---| | 高 | 高 | 高 | 中 | | 中 | 高 | 中 | 低 | | 低 | 中 | 低 | 低 |
- 緩和策の提案 — 設計段階 / 実装段階 / 運用段階で分類する
- **補助連携の提案*
[Description truncada. Veja o README completo no GitHub.]