CSSx2.0 in CSS2020でプレゼンしたLTです。 Elevation of Privilege脅威モデリングカードゲーム日本語版 (https://github.com/KiiCorp/eop-ja) を作成した経緯について語っています。

1. シフトレフトを
頑張っていたら
なぜかカードゲームが
できた話
CSS2.0 in CSS2020
いぐちまこと

2. 2020年も
いろいろなこと
がありましたね…
銀行口座からの不正引き出し
東証システム障害
某教育機関向けSaaSからのパスワード流出

3. この世からセキュリティ事案
を消し去りたい…

4. システム設計段階でつぶす
システム設計 システム実装 システム運用・保守
ココ

5. システム設計 システム実装 システム運用・保守
シフトレフト！
Security by Design!!

6. わたし
シフトレフト
体系的に
やりたいな…
ふんいきで
属人的に
やってたよな…

7. STRIDE 脅威分析モデル
• Spoofing (なりすまし)
• Tampering (改ざん)
• Repudiation (否認)
• Information Disclosure (情報漏えい)
• Denial of Service (サービス拒否)
• Elevation of Privilege (権限昇格)

8. STRIDEなカードゲーム
The Elevation of Privilege Threat Modeling Card Deck
https://github.com/adamshostack/eop

9. さっそく試してみた…
STRIDEカードゲーム
よくね？
悪くはない…
脅威シナリオが
イメージしにくい…
そこはかとない
イマイチ感…
カードゲーム感
なさすぎ…
ざわ…
ざわ…
ざわ…
ざわ…
ざわ…
ざわ…
ややストライドに懐疑的な流れ…

10. し
か
し
い
ぐ
ち
に
電
流
走
る
ー
ー
！

11. ややストライドに懐疑的な意見

12. ややストライド

13. や や ス ト ラ イ ド

14. や や ス ト ラ イ ド
イ ラ ス ト や ド や

15. イ ラ ス ト や ド や

16. イラストや ドや

17. いらすとや
ドヤ！

18. 全カード「いらすとや」化

19. 結果：みんなにっこり！
職場のみんなが
にっこり
原作者も
にっこり
https://www.threatmodelingbook.com/resources

20. 皆さんにもにっこりして欲しい！
• 勤め先のGithubレポジトリにて
無償配布中!
• カードゲームをしながら楽しく
脅威分析＆にっこりしましょう！
(他の人にもどんどん紹介してね)
https://bit.ly/eop-ja