Μοντελοποίηση απειλών: μετατρέψτε την αρχιτεκτονική σε αποφάσεις ασφάλειας

Η μοντελοποίηση απειλών θέτει το ερώτημα τι θα μπορούσε να πάει στραβά σε ένα συγκεκριμένο σύστημα και τι πρέπει να κάνει η ομάδα γι' αυτό. Το χρήσιμο αποτέλεσμά της δεν είναι ένας κατάλογος τρομακτικών ενδεχομένων. Είναι ένα σύνολο αποφάσεων σχεδιασμού και υλοποίησης συνδεδεμένων με την αρχιτεκτονική, με κατόχους και τεκμήρια ότι οι επιλεγμένες άμυνες λειτουργούν.

Για έναν CTO, το κεντρικό ερώτημα είναι αν η ομάδα μηχανικών μπορεί να εξηγήσει πώς σημαντικές ιδιότητες ασφάλειας αντέχουν την πραγματική συμπεριφορά του συστήματος: επαναλήψεις, εργασίες παρασκηνίου, προνομιακές ενέργειες υποστήριξης, διακοπές προμηθευτών και κακόβουλη είσοδο. Ένα διάγραμμα κάνει αυτές τις συζητήσεις συγκεκριμένες. Ένα συντηρούμενο μοντέλο απειλών μετατρέπει τα συμπεράσματα σε εργασία παράδοσης.

Η καθοδήγηση του OWASP για τη μοντελοποίηση απειλών παρέχει μια χρήσιμη βάση: κατανοήστε το σύστημα, εντοπίστε απειλές, αποφασίστε πώς θα αποκριθείτε και αξιολογήστε αν η εργασία είναι επαρκής. Η ροή εργασίας που ακολουθεί εφαρμόζει αυτή τη σκέψη σε αποφάσεις μηχανικής.

Περιγράψτε το σύστημα πριν συζητήσετε επιθέσεις

Ξεκινήστε με μια οριοθετημένη δυνατότητα, όπως οι εξαγωγές πελατών, η εκκίνηση πληρωμών ή οι ενημερώσεις συσκευών. Η μοντελοποίηση μιας ολόκληρης πλατφόρμας με τη μία συχνά παράγει επιφανειακές παρατηρήσεις, επειδή κανείς δεν μπορεί να εξηγήσει κάθε εξάρτηση με αρκετή λεπτομέρεια.

Διατυπώστε τα πάγια και τους στόχους ασφάλειας με λειτουργικούς όρους. Το «Προστασία των δεδομένων πελατών» είναι πολύ ευρύ. Το «Ένας αυθεντικοποιημένος χρήστης μπορεί να εξαγάγει μόνο αρχεία που ανήκουν στον εξουσιοδοτημένο μισθωτή του» δίνει στην ομάδα μια ιδιότητα προς δοκιμή. Άλλοι στόχοι μπορεί να αφορούν την ακεραιότητα των συναλλαγών, τη διαθεσιμότητα της υπηρεσίας, την αποκατάσταση ή την απόδοση των διαχειριστικών ενεργειών.

Προσδιορίστε χρήστες, υπηρεσίες, χώρους αποθήκευσης δεδομένων, εξωτερικές εξαρτήσεις, σημεία εισόδου και όρια εμπιστοσύνης. Σχεδιάστε τις σημαντικές ροές δεδομένων, συμπεριλαμβανομένων της ασύγχρονης επεξεργασίας και των διαχειριστικών διαδρομών. Επισημάνετε τις ροές με τα δεδομένα που μεταφέρουν, τον μηχανισμό αυθεντικοποίησης και το πλαίσιο εξουσιοδότησης, όπου αυτά επηρεάζουν την ανάλυση.

Ένα όριο εμπιστοσύνης σηματοδοτεί μια αλλαγή παραδοχών ή εξουσίας, όχι απαραίτητα μια περίμετρο δικτύου. Ένα πρόγραμμα περιήγησης που καλεί ένα API διασχίζει ένα όριο. Ένας κοινός worker που ενεργεί για λογαριασμό ενός πελάτη διασχίζει ένα άλλο, ακόμη κι αν και οι δύο υπηρεσίες εκτελούνται στο ίδιο cluster.

Για μια εφαρμογή πολλαπλών μισθωτών, δείξτε πού καθιερώνεται η ταυτότητα του μισθωτή και πώς φτάνει στους ελέγχους εξουσιοδότησης, στις εργασίες παρασκηνίου και στις εξαγωγές. Συμπεριλάβετε ταυτότητες υπηρεσιών, πρόσβαση σε αποθήκευση αντικειμένων, εργαλεία υποστήριξης και εξωτερικά callbacks. Διαφορετικά, το διάγραμμα μπορεί να περιγράφει την ιδανική διαδρομή, παραλείποντας τις διαδρομές που είναι πιθανότερο να παρακάμψουν την απομόνωση.

Καταγράψτε τις παραδοχές χωριστά από τα γεγονότα. Το «Η ουρά δεν μπορεί να εγγραφεί από πελάτες» χρειάζεται υποστηρικτικά τεκμήρια διαμόρφωσης. Τα άγνωστα πρέπει να γίνονται εργασίες διερεύνησης, όχι σιωπηρά αποδεκτές άμυνες.

Επιλέξτε μια μέθοδο που βοηθά την ομάδα να σκέφτεται

Μια μέθοδος παρέχει ερεθίσματα και δομή. Δεν καθορίζει ποιες απειλές έχουν τη μεγαλύτερη σημασία, δεν αποδεικνύει ότι ένας σχεδιασμός είναι ασφαλής και δεν αντικαθιστά τη γνώση του συστήματος.

STRIDE για συστηματικά ερεθίσματα

Το STRIDE εξετάζει έξι κατηγορίες. Εφαρμόστε τις σε σχετικά στοιχεία, ροές και όρια αντί να επιβάλλετε κάθε κατηγορία σε κάθε στοιχείο του διαγράμματος.

Ένα σενάριο μπορεί να καλύπτει πολλές κατηγορίες. Κρατήστε ένα ενιαίο αξιοποιήσιμο αρχείο όπου είναι σκόπιμο αντί να δημιουργείτε διπλά tickets για να ικανοποιήσετε την ταξινόμηση.

Άλλες μέθοδοι για διαφορετικά ερωτήματα

Το PASTA, Process for Attack Simulation and Threat Analysis, προσφέρει μια προσέγγιση επτά σταδίων με προσανατολισμό στον κίνδυνο, η οποία συνδέει επιχειρηματικούς στόχους, τεχνικό πεδίο, αποσύνθεση, ανάλυση απειλών και ευπαθειών, μοντελοποίηση επιθέσεων και αντιμετώπιση κινδύνων. Ταιριάζει σε βαθύτερη ανάλυση όπου η συμπεριφορά του επιτιθέμενου και οι επιχειρηματικές συνέπειες χρειάζονται ρητή προσοχή.

Τα δέντρα επιθέσεων ξεκινούν από έναν στόχο του επιτιθέμενου και τον αναλύουν σε εναλλακτικές ή συνδυασμένες διαδρομές. Για το «απόκτηση της εξαγωγής άλλου μισθωτή», οι εναλλακτικές μπορεί να περιλαμβάνουν την παράκαμψη της εξουσιοδότησης του API, τη σύγχυση του πλαισίου μισθωτή του worker ή την κλοπή ενός διαπιστευτηρίου λήψης. Οι σχέσεις AND αναπαριστούν συνθήκες που πρέπει να συντρέχουν ταυτόχρονα· οι σχέσεις OR αναπαριστούν εναλλακτικές.

Το VAST, Visual, Agile, and Simple Threat modeling, δίνει έμφαση στην κλιμακούμενη μοντελοποίηση από την οπτική τόσο των εφαρμογών όσο και της λειτουργίας. Οι ομάδες που το εξετάζουν πρέπει να ελέγξουν αν τα εργαλεία και η διαδικασία ανάπτυξής τους μπορούν να διατηρούν αυτές τις οπτικές με συνέπεια.

Μια πρακτική σύσταση για αρχή είναι ένα διάγραμμα ροής δεδομένων μαζί με STRIDE, ακολουθούμενο από ένα δέντρο επιθέσεων για το σενάριο με τις σοβαρότερες συνέπειες. Περισσότερη μεθοδολογία είναι χρήσιμη μόνο όταν βελτιώνει τις αποφάσεις.

Οργανώστε την επανεξέταση γύρω από συγκεκριμένα σενάρια

Φέρτε τους ανθρώπους που κατανοούν την υλοποίηση και τη λειτουργία: έναν προγραμματιστή, έναν αρχιτέκτονα ή τεχνικό επικεφαλής, έναν ελεγκτή ασφάλειας και κάποιον που γνωρίζει τη συμπεριφορά της παραγωγής. Συμπεριλάβετε ειδικούς προϊόντος, ιδιωτικότητας ή προμηθευτών όταν η γνώση τους επηρεάζει το πεδίο.

Πριν από τη συνεδρία, κυκλοφορήστε το διάγραμμα, τους στόχους ασφάλειας, τη σχετική διαμόρφωση και τις ανεπίλυτες παραδοχές. Κατά την επανεξέταση, ακολουθήστε ένα αίτημα ή γεγονός από την είσοδο έως την ολοκλήρωση. Ρωτήστε πού αλλάζει η ταυτότητα, πού διατηρούνται δεδομένα, τι επαναλαμβάνεται και ποιο στοιχείο έχει την εξουσία να εγκρίνει μια ενέργεια.

Γράψτε τις απειλές ως σενάρια, όχι ως ετικέτες. Το «Ζήτημα εξουσιοδότησης» δεν είναι αρκετά χρήσιμο. Μια ισχυρότερη διατύπωση είναι: «Ένας αυθεντικοποιημένος χρήστης αντικαθιστά το αναγνωριστικό εξαγωγής με εκείνο άλλου μισθωτή· το endpoint λήψης ελέγχει τη σύνδεση αλλά όχι την ιδιοκτησία του αντικειμένου, εκθέτοντας αρχεία πελατών».

Διαχωρίστε τρεις έννοιες:

• Μια απειλή περιγράφει μια δυσμενή ενέργεια ή ένα γεγονός, όπως η μη εξουσιοδοτημένη ανάκτηση εξαγωγής.
• Μια ευπάθεια είναι μια αδυναμία που θα μπορούσε να την επιτρέψει, όπως ένας ελλείπων έλεγχος ιδιοκτησίας.
• Ο κίνδυνος εξετάζει την πιθανότητα και τη συνέπεια του σεναρίου στο πραγματικό περιβάλλον.

Μια απειλή μπορεί να αξίζει διερεύνηση πριν επιβεβαιωθεί μια ευπάθεια. Εξίσου, ο εντοπισμός μιας αδυναμίας δεν τεκμηριώνει ότι κάθε επίθεση που μπορεί κανείς να φανταστεί είναι εφικτή.

Συμπεριλάβετε την κατάχρηση από νόμιμους χρήστες, τους προνομιούχους εσωτερικούς χρήστες, τα σφάλματα διαμόρφωσης και τις αστοχίες προμηθευτών, παράλληλα με τις εξωτερικές επιθέσεις. Ρωτήστε τι συμβαίνει όταν μια εξάρτηση λήγει χρονικά ή επιστρέφει απρόσμενη απόκριση. Η συμπεριφορά fail-open και οι ασυνεπείς επαναλήψεις συχνά αναδύονται από αυτές τις συζητήσεις.

Παράδειγμα: μια ροή εξαγωγών πολλαπλών μισθωτών

Το ακόλουθο παράδειγμα είναι ενδεικτικό. Ας υποθέσουμε ότι μια εφαρμογή SaaS διαθέτει πελάτη προγράμματος περιήγησης, ένα API, μια κοινή βάση δεδομένων, μια ουρά εργασιών, έναν worker εξαγωγών και αποθήκευση αντικειμένων. Οι χρήστες των μισθωτών ζητούν εξαγωγές CSV· ο worker παράγει αρχεία και το API εκδίδει προσωρινούς συνδέσμους λήψης. Οι διαχειριστές υποστήριξης έχουν χωριστή διεπαφή αντιμετώπισης προβλημάτων.

Οι στόχοι ασφάλειας είναι η απομόνωση των μισθωτών, η εξουσιοδοτημένη εκκίνηση εξαγωγών, η οριοθετημένη κατανάλωση πόρων και η αποδοτέα δράση της υποστήριξης. Ας υποθέσουμε ότι ο worker έχει πρόσβαση στη βάση δεδομένων αρκετά ευρεία ώστε να εξυπηρετεί πολλούς μισθωτές. Αυτό καθιστά τον χειρισμό του πλαισίου μισθωτή από τον worker κεντρική απόφαση και όχι δευτερεύουσα λεπτομέρεια υλοποίησης.

Ακολουθήστε την εξουσία σε όλη τη ροή

Στο API, ο αυθεντικοποιημένος χρήστης συσχετίζεται με τις επιτρεπόμενες ιδιότητες μέλους μισθωτή. Ένα αναγνωριστικό μισθωτή που παρέχεται από το πρόγραμμα περιήγησης είναι αίτημα επιλογής, όχι απόδειξη εξουσιοδότησης. Το API ελέγχει την ιδιότητα μέλους και το δικαίωμα εξαγωγής πριν δημιουργήσει ένα αμετάβλητο αρχείο εργασίας που περιέχει τον εξουσιοδοτημένο μισθωτή, τον αιτούντα και το επιτρεπόμενο πεδίο εξαγωγής.

Το μήνυμα της ουράς παραπέμπει σε αυτό το αρχείο. Ο worker επικυρώνει την εργασία και επιβάλλει πρόσβαση στα δεδομένα περιορισμένη στον μισθωτή κατά την παραγωγή της εξαγωγής. Τα μεταδεδομένα αποθήκευσης συσχετίζουν το αντικείμενο που προκύπτει με την εργασία και τον μισθωτή. Πριν εκδώσει σύνδεσμο λήψης, το API ελέγχει την εξουσιοδότηση του τρέχοντος αιτούντος σε σχέση με αυτή τη συσχέτιση.

Ο σχεδιασμός αυτός εξακολουθεί να χρειάζεται ρητές αποφάσεις για την ανάκληση πρόσβασης: πρέπει ένας χρήστης που χάνει την ιδιότητα μέλους μετά το αίτημα εξαγωγής να διατηρεί πρόσβαση στο ολοκληρωμένο αρχείο; Η ομάδα πρέπει να ορίσει αυτή την πολιτική και να την εφαρμόσει με συνέπεια.

Μετατρέψτε τα σενάρια σε μέτρα ελέγχου και δοκιμές

Οι προσωρινοί σύνδεσμοι εισάγουν ένα παράθυρο υπολειπόμενης έκθεσης: η κατοχή μπορεί να επιτρέπει πρόσβαση έως τη λήξη, ανάλογα με τον μηχανισμό. Η ομάδα πρέπει να αποφασίσει αν αυτό είναι αποδεκτό για τα σχετικά δεδομένα ή αν οι λήψεις χρειάζονται έναν αυθεντικοποιημένο ενδιάμεσο με ελέγχους τρέχουσας εξουσιοδότησης.

Μην κλείνετε το μοντέλο μετά τη δοκιμή μόνο του σύγχρονου API. Επαληθεύστε καθυστερημένες εργασίες, επαναλήψεις, ακυρωμένα αιτήματα, ληγμένες ιδιότητες μέλους, διαγραμμένους μισθωτές και μερικές αστοχίες. Για παράδειγμα, μια εργασία που επαναλαμβάνεται δεν πρέπει να επαναχρησιμοποιεί ένα αντικείμενο συσχετισμένο με διαφορετικό μισθωτή ούτε να δημοσιεύει μια ημιτελή εξαγωγή ως επιτυχή.

Το παραδοτέο που προκύπτει είναι μια επανεξετασμένη αρχιτεκτονική, ένα μητρώο απειλών, εργασίες υλοποίησης και συνδεδεμένα αποτελέσματα επαλήθευσης. Δεν είναι απλώς το διάγραμμα.

Ιεραρχήστε με βάση την έκθεση και τις συνέπειες

Ιεραρχήστε τα εύλογα σενάρια με βάση την έκθεση, την επίπτωση, τις προϋποθέσεις και τις υφιστάμενες άμυνες. Διακρίνετε μια άμεσα προσβάσιμη αστοχία εξουσιοδότησης από ένα σενάριο που απαιτεί αρκετές μη αποδεδειγμένες παραβιάσεις. Εξετάστε τα επηρεαζόμενα δεδομένα, τη διαταραχή της υπηρεσίας, τις οικονομικές συνέπειες, τις επιπτώσεις στη λειτουργική ασφάλεια και τη δυσκολία αποκατάστασης, όπου είναι σχετικό.

Χρησιμοποιήστε μια απλή, συνεπή κλίμακα αν βοηθά την ομάδα, αλλά καταγράψτε το σκεπτικό πίσω από τη βαθμολογία. Μια αριθμητική βαθμολογία με ανεξήγητα δεδομένα εισόδου δημιουργεί ψευδή ακρίβεια. Το CVSS μπορεί να τροφοδοτήσει την αξιολόγηση μιας συγκεκριμένης ευπάθειας· δεν υποκαθιστά την κατανόηση της επιχειρηματικής επίπτωσης ή μιας αρχιτεκτονικής περίπτωσης κατάχρησης.

Οι επιλογές αντιμετώπισης περιλαμβάνουν την αλλαγή του σχεδιασμού, τη μείωση της έκθεσης, την προσθήκη προληπτικών ή ανιχνευτικών μέτρων ελέγχου, την αποφυγή της δυνατότητας ή την αποδοχή του εναπομείναντος κινδύνου. Οι συμβάσεις με προμηθευτές μπορεί να κατανέμουν αρμοδιότητες, αλλά δεν εξαλείφουν τους τεχνικούς τρόπους αστοχίας.

Ο υπολειπόμενος κίνδυνος πρέπει να έχει έναν κατονομαζόμενο υπεύθυνο λήψης απόφασης, έναν λόγο, μια λήξη ή αφορμή επανεξέτασης και τυχόν λειτουργικούς όρους. Η ολοκλήρωση της εργασίας μηχανικής και η αποδοχή κινδύνου είναι διαφορετικές αποφάσεις. Ένα ticket μπορεί να ολοκληρωθεί ενώ παραμένει ουσιαστικός κίνδυνος.

Μεταφέρετε το μοντέλο στην παράδοση και στα τεκμήρια

Για κάθε ουσιώδες σενάριο, καταγράψτε το αναγνωριστικό του, τα επηρεαζόμενα στοιχεία, τις προϋποθέσεις, τη συνέπεια, τις υφιστάμενες άμυνες, την αντιμετώπιση, τον κάτοχο και τη μέθοδο επαλήθευσης. Συνδέστε το αρχείο με την έκδοση της αρχιτεκτονικής και τη σχετική εργασία υλοποίησης, ώστε οι ελεγκτές να μπορούν να καταλάβουν ποιος σχεδιασμός αξιολογήθηκε.

Μετατρέψτε τις αντιμετωπίσεις σε ελέγξιμα κριτήρια αποδοχής. Το «Βελτίωση του ελέγχου πρόσβασης» είναι αόριστο. Το «Ο μισθωτής Α δεν μπορεί να ζητήσει, να ελέγξει την κατάσταση, να ακυρώσει ή να κατεβάσει την εξαγωγή του μισθωτή Β μέσω οποιουδήποτε υποστηριζόμενου endpoint» προσδιορίζει συμπεριφορά που η ομάδα μηχανικών μπορεί να επαληθεύσει.

Χρησιμοποιήστε τεκμήρια κατάλληλα για τον ισχυρισμό:

• Η επανεξέταση κώδικα μπορεί να τεκμηριώσει πού επιβάλλεται η εξουσιοδότηση.
• Η επιθεώρηση διαμόρφωσης μπορεί να τεκμηριώσει τα δικαιώματα των υπηρεσιών και την έκθεση της αποθήκευσης.
• Οι αρνητικές δοκιμές ολοκλήρωσης μπορούν να ελέγξουν τα όρια μεταξύ μισθωτών και τα όρια προνομίων.
• Οι δοκιμές φόρτου και έγχυσης σφαλμάτων μπορούν να εξετάσουν τη διαθεσιμότητα και τη συμπεριφορά σε αστοχίες.
• Οι στοχευμένες δοκιμές διείσδυσης μπορούν να διερευνήσουν διαδρομές επίθεσης που χρειάζονται ανεξάρτητη εξερεύνηση.

Κανένα μεμονωμένο τεκμήριο δεν αποδεικνύει ολόκληρο το μοντέλο. Ένα στιγμιότυπο οθόνης μιας ρύθμισης δεν αποδεικνύει ότι κάθε worker τη χρησιμοποιεί, και μια επιτυχής δοκιμή δεν αποδεικνύει μια διαδρομή που δεν δοκιμάστηκε. Καταγράψτε το περιβάλλον δοκιμής, το πεδίο, τα αποτελέσματα και τους περιορισμούς.

Η μοντελοποίηση απειλών συμπληρώνει την ασφαλή ανάπτυξη κώδικα, την αξιολόγηση εξαρτήσεων, τη σάρωση ευπαθειών και τις δοκιμές διείσδυσης. Η ιδιαίτερη συμβολή της είναι ο αρχιτεκτονικός συλλογισμός: μπορεί να αποκαλύψει μια επικίνδυνη κατανομή εξουσίας ακόμη και όταν τα μεμονωμένα στοιχεία δεν έχουν γνωστή ευπάθεια.

Κρατήστε τα εργαλεία και τον αυτοματισμό στην υπηρεσία του μοντέλου

Ένα κοινό διάγραμμα και ένα δομημένο μητρώο μπορούν να στηρίξουν μια εστιασμένη πρώτη επανεξέταση. Τα εξειδικευμένα εργαλεία γίνονται χρήσιμα όταν οι ομάδες χρειάζονται επαναχρησιμοποιήσιμες βιβλιοθήκες στοιχείων, συνεπή αναγνωριστικά, συνεργασία και αξιόπιστους συνδέσμους μεταξύ απειλών και αρχείων παράδοσης.

Αξιολογήστε αν ένα εργαλείο υποστηρίζει όρια εμπιστοσύνης, προσαρμοσμένα σενάρια, ιστορικό εκδόσεων, εξαγώγιμα αρχεία, ιδιοκτησία και αναφορές σε τεκμήρια. Οι αυτόματα παραγόμενες απειλές είναι ερεθίσματα για εξέταση, όχι επιβεβαιωμένα ευρήματα. Οι μακριές λίστες χωρίς πλαίσιο μπορούν να κρύψουν τις λίγες αποφάσεις που έχουν σημασία.

Η υποβοήθηση από ΤΝ μπορεί να συντάσσει περιγραφές σεναρίων, να προτείνει διαδρομές που λείπουν ή να συγκρίνει αλλαγές με ένα προηγούμενο μοντέλο. Οι ανθρώπινοι ελεγκτές εξακολουθούν να πρέπει να επικυρώνουν την αρχιτεκτονική, την εφικτότητα, την κάλυψη των μέτρων μετριασμού και τον υπολειπόμενο κίνδυνο. Κρατήστε τα εμπιστευτικά διαγράμματα και τα διαπιστευτήρια εκτός μη εγκεκριμένων υπηρεσιών. Η παραγωγή μοντέλων απειλών είναι επίσης διαφορετική από τον εντοπισμό κατά τον χρόνο εκτέλεσης· η παραγωγή ενός μοντέλου δεν εξασφαλίζει συνεχή παρακολούθηση ή αυτοματοποιημένη αποκατάσταση.

Επανεξετάζετε όταν αλλάζουν η αρχιτεκτονική ή οι παραδοχές

Επικαιροποιήστε το μοντέλο για νέες ενοποιήσεις, αλλαγές στην αυθεντικοποίηση, προνομιακές ενέργειες, κατηγορίες δεδομένων, έκθεση στο δίκτυο και σημαντικές αλλαγές εξαρτήσεων. Ένα περιστατικό ή ένα απρόσμενο αποτέλεσμα δοκιμής μπορεί επίσης να ακυρώσει μια προηγούμενη παραδοχή.

Διαφορετικά συστήματα χρειάζονται διαφορετική έμφαση. Οι εφαρμογές cloud απαιτούν προσοχή στα δικαιώματα ταυτοτήτων και στην πρόσβαση στο επίπεδο διαχείρισης. Οι εφαρμογές για κινητά πρέπει να αντιμετωπίζονται ως περιβάλλοντα που ελέγχει ο επιτιθέμενος και όχι ως αξιόπιστα σημεία επιβολής. Οι συνδεδεμένες συσκευές εισάγουν φυσική πρόσβαση, ακεραιότητα ενημερώσεων, αποκατάσταση και ενδεχομένως συνέπειες για τη λειτουργική ασφάλεια. Οι λειτουργίες με ΤΝ προσθέτουν μη αξιόπιστο περιεχόμενο και όρια χρήσης εργαλείων· η εξουσιοδότηση πρέπει να περιορίζει τις ενέργειες ανεξάρτητα από το αποτέλεσμα του μοντέλου.

Μετρήστε αν οι σημαντικές ροές έχουν τρέχοντα μοντέλα, αν οι αντιμετωπίσεις υψηλής προτεραιότητας έχουν τεκμήρια επαλήθευσης, αν παραμένουν ανεπίλυτες παραδοχές και αν οι αποδεκτοί κίνδυνοι έχουν καθυστερημένες επανεξετάσεις. Η απλή καταμέτρηση απειλών ανταμείβει τον όγκο και όχι τη χρήσιμη ανάλυση. Ζητήστε περιοδικά από έναν ανεξάρτητο ελεγκτή να αμφισβητήσει ένα κρίσιμο σενάριο και τα τεκμήριά του.

Κάντε την πρώτη επανεξέταση αρκετά μικρή ώστε να ολοκληρωθεί

Η Secani μπορεί να διατηρεί τη ροή εργασίας γύρω από αυτές τις αποφάσεις μοντελοποιώντας τα σχετικά συστήματα και τις εξαρτήσεις, αναθέτοντας κατόχους και ελεγκτές και συνδέοντας τεκμήρια με απαιτήσεις, μέτρα ελέγχου και αποφάσεις. Οι ανεπίλυτες παραδοχές γίνονται εργασίες· το υλικό πηγής και οι ανθρώπινες εγκρίσεις παραμένουν συνδεδεμένα με την επανεξέταση. Κάθε πρόταση που υποβοηθείται από ΤΝ πρέπει να ελέγχεται πριν από την έγκριση.

Ξεκινήστε με μία κρίσιμη ροή δεδομένων. Ακολουθήστε την εξουσία της από άκρο σε άκρο, εντοπίστε μερικά εύλογα σενάρια και ολοκληρώστε με αντιμετωπίσεις που έχουν κατόχους και ρητά κριτήρια επαλήθευσης. Προγραμματίστε την επόμενη επανεξέταση γύρω από τις αλλαγές αρχιτεκτονικής που θα μπορούσαν να ακυρώσουν αυτές τις αποφάσεις.