2026年8月26日、Threat Modeling Connect Tokyo（TMC Tokyo）にて、ロールベース脅威モデリングワークショップを実施しました。
今回のワークショップでは、4名を1チームとして、プロダクト責任者、アプリケーション開発者、インフラ担当者、運用／サポート担当に分かれ、それぞれに異なる情報を配布しました。実際の現場でも、システムに関する情報は一人に集約されているとは限らず、それぞれの担当者が異なる情報を持っています。
そこで演習では、まず一人の担当者の視点から作られたDFDを出発点としました。そのDFDは間違っているわけではありませんが、他の担当者が持っている情報までは反映されていません。参加者は、配布されたそれぞれの情報を持ち寄りながらDFDを更新し、そこから脅威を洗い出し、優先順位を付け、対策を考えていきます。
一人では全体が見えない
今回やりたかったことは、脅威をたくさん出すことそのものではありません。実際の現場では、プロダクト、開発、インフラ、運用、それぞれが違う情報を持っています。全員が部分的には正しいけれども誰も全体を持っていない。それぞれの情報を持ち寄ることでモデルそのものが変わり、モデルが変われば見える脅威も変わります。
参加者からは共通して、「それぞれの立場の人たちの情報をまとめ上げていくことで、ひとりだと発見できない脅威をたくさん見つけることができた」というフィードバックをいただきました。
これは今回のワークショップで狙っていた効果そのもので、手応えを感じました。
参加者からのその他のフィードバック
ほかにも、「各部署や担当者が持つ情報を確認しながら全体像を組み立てる流れが実務に近かった」「一人では気づきにくい構成要素やリスクに、複数の視点から気づけた」「ロール分けでのDFD作成がとてもよかった」といった声がありました。
また、「普段と違う立場になることで、急にセキュリティの話をされる側の負担も分かった」というフィードバックもありました。単に情報を持ち寄るだけではなく、普段とは違う立場から見ることで、他の担当者がどのように感じるのかにも気づけた点は興味深いところです。脅威モデリングを現場主体にしていく上では、この感覚も重要だと思います。
改善点もありました
一方で、1時間の中で、ロールの情報理解、DFD更新、脅威の洗い出し、優先順位付け、対策検討まで行うのはかなり負荷が高かったようです。「もう少し演習時間が欲しい」という声もありました。
また、draw.ioに慣れていない場合は、システムについて考えることと図を操作することを同時に進める必要があります。さらに、複数の参加者から「ファシリテーターが欲しい」という意見もありました。このあたりは、今後改善していきたいポイントです。
専門家主導から、現場主体へ
今回のワークショップをやってみて、あらためて感じたのは、脅威モデリングでは一人の視点だけでは見えないものがあるということです。専門家が全体を深く理解した上で進めるケースもありますが、実際の現場ではシステムに関する情報が複数の担当者に分散していることも多くあります。それぞれが持っている情報を持ち寄ることで、モデルの見え方が変わり、それまで気づかなかった脅威が見えてきます。
セキュリティ専門家が外から脅威モデルを作るのではなく、現場の人たち自身がシステムを理解し、脅威を見つけ、対策を考える。専門家主導から、現場主体の脅威モデリングへ。
弊社では、このようなコンテンツを各社の状況や課題に合わせてカスタマイズし、社内研修などの形でご提供しています。ご興味がありましたら、ぜひご相談ください。
開催情報：
https://luma.com/ds5u5nmp
Written by 小笠 貴晴 / 株式会社セキュアモデリング