最終レビュー日：2023年10月27日

常にあなたのデータすべてをあらゆるものから保護しようとするのは非現実的であり、疲労困憊してしまいます。しかし、心配はいりません！セキュリティはプロセスであり、綿密な計画を立てれば、あなたにとって最適な計画を立てることができます。セキュリティは、あなたが使用するツールやダウンロードするソフトウェアだけではありません。それは、あなたが直面する固有の脅威を理解し、それらの脅威にどのように対抗できるかを理解することから始まります。

コンピュータセキュリティにおいて、脅威とは、あなたのデータを守る努力を台無しにしてしまう可能性のある潜在的な出来事を指します。 直面する脅威に対処するには、何を誰から守る必要があるかを特定する必要があります。 これがセキュリティ計画のプロセスであり、しばしば「脅威モデリング」と呼ばれています。

このガイドでは、デジタル情報のセキュリティ計画の立て方と、あなたにとって最適なソリューションを決定する方法を紹介します。

セキュリティ計画とはどのようなものでしょうか？ 例えば、家や所有物を安全に守りたいとします。 ここで、後ほど再び出てくる「資産」や「敵対者」などのキーワードを使用して、以下のような疑問を投げかけてみましょう。

家の中には、保護する価値のあるものとして何があるでしょうか？

• 資産には、宝石、電子機器、財務書類、パスポート、写真などが考えられます

誰からそれを守りたいのでしょうか？

• 敵対者には以下が含まれます：強盗、同居人、来客

それを保護する必要性はどの程度あるのでしょうか？

• あなたの近隣には強盗の発生歴がありますか？同居人や来客はどの程度信頼できますか？敵対者の能力はどの程度でしょうか？考慮すべきリスクにはどのようなものがあるでしょうか？

失敗した場合、どのような深刻な結果がもたらされるでしょうか？

• 家の中に、代えがたいものはありますか？ それらを買い直す時間や資金はありますか？ 自宅から盗まれた物品を補償する保険に加入していますか？ もしこれらの脅威が発生した場合、あなたの周囲にセキュリティ上の脅威にさらされる人々はいますか？

これらの結果を防ぐために、どの程度なら苦労なら可能でしょうか？

• 機密書類を保管する金庫を購入する意思はありますか？ 高品質の錠を購入する余裕はありますか？ 地元の銀行の貸金庫を借りて貴重品を保管する時間がありますか？

あなたの味方は誰ですか？

• 一緒に住んでいる人々の中に、あなたの大切なものを守ってくれる人はいませんか？ あなたの住居や利用可能なリソースについて詳しい近所の人々はいますか？

これらの疑問を自分自身に問いかけたら、どのような対策を取るべきかを評価する立場にあります。 財産は貴重ですが、侵入される可能性が低い場合は、鍵にあまりお金をかけたくないかもしれません。 しかし、侵入される可能性が高い場合は、市場で最高の鍵を手に入れ、セキュリティシステムの追加を検討したいと思うでしょう。

すでに、この疑問に対する明確な答えはないことに気づき始めているかもしれません。むしろ、何を重視するか、また、脅威が現実のものとなる可能性を考慮して判断を下さなければなりません。これがこの作業の本質であり、脅威の影響の深刻さ、発生の可能性を測定し、保護したいものを優先順位付けした上で、賢明な判断を下すことです。

自分自身のセキュリティ計画をどのように立てたらよいのでしょうか？何から始めればよいのでしょうか？

セキュリティ計画を立てる際には、以下の6つの疑問に答えてください。

1. 何を保護したいのか？
2. 誰からそれを守りたいのか？
3. 失敗した場合、どのような深刻な結果が予想されるのか？
4. 保護する必要がある可能性はどの程度か？
5. 潜在的なリスクを防ぐために、どの程度の困難なら覚悟できるか？
6. 味方は誰か？

それでは、これらの疑問について詳しく見ていきましょう。

何を保護したいのか？

「資産」とは、あなたが価値を認め、保護したいと考えるものです。デジタルセキュリティの文脈では、資産とは通常、何らかの情報です。例えば、電子メール、連絡先リスト、ダイレクトメッセージ、位置情報、その他の文書などが考えられます。また、デバイス自体も資産である可能性があります。

あなたの資産のリストを作成しましょう。あなたが保存しているデータ、その保存場所、アクセス権を持つ人物、そして他者によるアクセスを阻止する手段をリストアップします。

誰からそれを守りたいのか？

この疑問に答えるには、誰があなたやあなたの情報を標的にしようとしているかを特定することが重要です。あなたの資産に脅威をもたらす個人または団体は「敵対者」です。潜在的な敵対者の例としては、あなたの上司、法執行機関、元パートナー、ビジネス上の競合相手、政府、または公共ネットワーク上のハッカーなどが挙げられます。また、あなたが信頼している人々であっても、自身のセキュリティ計画を怠ることで、あなたの資産を偶発的に危険にさらす可能性もあります。

潜在的な敵対者、または既知の敵対者、あるいはあなたの資産を入手しようとする可能性のある者のリストを作成します。リストには、個人、政府機関、企業などが含まれる可能性があります。敵対者が誰であるかによって、状況によっては、セキュリティ計画が完了した後にこのリストを破棄したいと思う場合もあります。

失敗した場合、どのような深刻な結果が予想されるのか？

敵対者があなたのデータにアクセスする方法は数多くあります。例えば、敵対者はあなたのメールアドレスに送信された悪意のあるリンクをクリックさせ、あなたのコンピューターを侵害する可能性があります。あるいは、より単純に、誰かがあなたのプライベートなDMをスクリーンショットで撮影し、その情報を悪用する可能性もあります。

敵対者の動機は様々であり、その戦術も様々です。高度な技術力を駆使する者もいれば、信頼を得て最終的に裏切るような詐欺まがいの手口を取る者もいます。

セキュリティ計画では、敵対者があなたの資産にアクセスすることに成功した場合に、どのような深刻な結果がもたらされるかを理解する必要があります。これを判断するには、敵対者の能力を考慮する必要があります。例えば、携帯電話のプロバイダーは、あなたの電話記録すべてにアクセスできます。政府は、より強力な能力を持っているかもしれません。

敵対者があなたの個人データを使って何をしようとしているかを書き出します。

保護する必要がある可能性はどの程度か？

リスクとは、特定の資産に対する特定の脅威が実際に発生する可能性のことです。リスクは能力と密接に関連しています。例えば、携帯電話会社はあなたのデータすべてにアクセスする能力を持っていますが、彼らがあなたの個人データをオンラインで公開してあなたの評判に危害を加えるリスクは低いでしょう。

起こりうる事態とそれが起こる確率を区別することが重要です。例えば、あなたの建物が崩壊する可能性はありますが、そのリスクは地震が頻繁に起こるサンフランシスコの方が、地震がほとんどないストックホルムよりもはるかに高いでしょう。

リスクの評価は、個人的かつ主観的なプロセスです。多くの人々は、発生する可能性に関わらず、特定の脅威を容認できないと感じています。その理由は、脅威が存在するだけで、そのコストに見合わないからです。また、人々は、脅威を問題とみなさないため、高いリスクを無視する場合もあります。

どの脅威を深刻に受け止め、どの脅威は発生頻度が低すぎるか、あるいは無害すぎる（あるいは対処が困難すぎる）ため、心配する必要がないかを書き出します。

潜在的なリスクを防ぐために、どの程度の困難なら覚悟できるか？

セキュリティ対策に完璧な選択肢はありません。誰もが同じ優先事項や懸念事項を抱えていたり、同じリソースにアクセスできるわけではありません。リスク評価を行うことで、利便性、コスト、プライバシーのバランスを取りながら、あなたに適した戦略を計画することができます。

例えば、国家安全保障に関する案件でクライアントを代理する弁護士は、暗号化メールを使用するなど、その案件に関する通信を保護するために、ユーモアのある猫の動画を定期的にメールで送信する家族よりも、より多くの労力を惜しまないかもしれません。

独自の脅威を軽減するために利用できるオプションを書き出します。金銭的な制約、技術的な制約、または社会的制約がある場合は、その旨を記載します。

私の味方は誰か？

このガイドで何度も説明してきているように、デジタル上のプライバシーとセキュリティは、他者の助けを借りて行うのが最適なチームスポーツです。これは単に「数は力なり」という理由からだけではなく、プライバシーとセキュリティは、あなたの生活に関わる他の人々とも重なり合っているからなのです。あなたに脅威が及ぶ場合、それは他の人々にも影響を及ぼす可能性があり、その逆もまた然りです。

誰を信頼するかについて考えてみましょう。例えば、信頼しているネットワーク内の誰かが、何らかの方法でセキュリティを裏切る「内部脅威」となる可能性があるかどうかを考えてみましょう。しかし、内部脅威の恐怖に負けて、他人とのつながりを断つようなことがあってはなりません。むしろ、それを指針として、慎重に計画を立て、自分の周囲にいる人々もセキュリティを真剣に考えていることを確認するようにしましょう。

自分と同じ懸念を抱いている可能性が高い人々と対話を始めましょう。お互いを気遣う方法や、信頼できる情報について、共通の合意事項をいくつか作成しましょう。

セキュリティ計画を定期的に実践する

状況の変化に応じて、セキュリティ計画も変更する必要があることを念頭に置いてください。そのため、セキュリティ計画を定期的に見直すことは、良い習慣です。

独自の状況に基づいて独自のセキュリティ計画を作成します。そして、将来の予定をカレンダーに記入します。これにより、計画をレビューし、それが依然として状況に適切であるかどうかを確認するために、計画を見直すよう意識するようになります。

https://ssd.eff.org/module/your-security-plan