Secure by Design
セキュリティを後付けせず、要件・設計・実装・テスト・運用に組み込みます。
認証と認可
認証は利用者が誰か、認可は何を実行できるかを確認します。認証成功はすべてのデータへアクセスできることを意味しません。
多層防御と最小権限
入力検証、認証、認可、監査ログ、レート制限、バックアップを組み合わせ、各コンポーネントには必要最小限の権限を与えます。
Threat Modeling
資産、利用者、信頼境界、データフロー、脅威、対策を整理します。第三者システムへの攻撃実習ではなく、安全な設計レビューとローカル検証を行います。
設計演習
ファイルアップロードサービスの資産・信頼境界・認証認可・検証・保存権限・ログ・バックアップのリスクと対策をまとめてください。