ISACA威胁建模白皮书

威胁建模白皮书总结

威胁建模的价值

威胁建模是一种以黑客思维评估企业架构、系统和资产的结构化、主动性流程，旨在识别、评估并缓解潜在网络安全风险。它帮助企业在保护核心资产（如客户数据、专有技术和业务连续性）的同时，使安全工作与业务目标保持一致，避免代价高昂的安全事件，守护企业成功、声誉和市场地位。威胁建模适用于企业高管、CISO及安全团队，通过预测复杂攻击，使企业在网络风险日益加剧的时代保护关键资产并维持业务成功。

威胁建模的五个步骤

1. 明确业务目标，界定建模范围：确定要保护什么、为何保护，并获得领导层支持，将安全视为推动战略落地的关键能力。
2. 绘制业务生态图：构建企业运营的高层级模型，理解价值产生、风险可能出现的地点，识别业务资产，明确需要重点保护的对象。
3. 识别并优先处理威胁：识别威胁发生的可能性和潜在影响，评估并记录生态系统中外部依赖的风险，优先制定应对策略。
4. 制定应对策略：为超出企业风险承受能力的威胁指定风险负责人，制定切实可行的行动计划，降低攻击发生的可能性，减轻攻击发生后的损失。
5. 审查、验证与持续迭代：评估模型是否能准确识别和优先处理潜在威胁，从威胁模型中得出的信息必须与所有相关人共享，并随威胁环境的变化而持续演进。

相关方参与和资源投入

任何威胁建模工作都必须确保相关方的充分参与，并投入足够的资源。高管在威胁建模中扮演着关键角色，通过战略领导和治理，保护企业核心资产，确保组织韧性。相关方参与包括：高管视角的威胁建模、明确战略方向、确定风险偏好、批准优先事项、监督治理、培育安全意识强、以风险为导向的文化、对外代表。

整合全局

有效的网络安全，核心在于保护最重要的东西。企业必须首先明确自身的业务重点，例如收入来源、业务连续性、客户信任或合规要求，然后，将网络风险与这些关键目标联系起来。威胁建模弥合了技术漏洞与战略成果之间的鸿沟，有助于缩短数据泄露响应时间、简化审计准备、降低合规风险，并增强企业安全创新的能力。

从他人的错误中学习

让高管团队参与威胁建模的一个好方法，是组织一次桌面推演，梳理一个真实发生的、与本行业相关的重大数据泄露事件，采取一个可执行的步骤，建立节奏，将威胁建模制度化为定期的治理流程。

CISO、CIO 与威胁建模

威胁建模是主动风险管理的基石，每一位高管，而不仅仅是技术岗位的负责人，都都与风险息息相关。CISO和CIO在实施威胁建模时可以考虑的三项实用策略：将风险纳入CISO战略、助力CIO实现稳健增长、推动CISO与CIO协同，打造真正的韧性。

让威胁建模真正落地

有效的威胁建模始于可控的范围和明确的目标，以下是将威胁建模从一次性任务转变为常态化运营的四项久经考验的策略：从小处着手，保持专注、聚焦真正重要的威胁、将风险转化为实际改进、实施持续的威胁建模。

不同行业的威胁建模

无论企业身处医疗、零售、金融科技（Fintech）还是其他领域，威胁建模都必须结合行业特有的风险定制化。不同行业关注的重点各不相同，例如，银行可能聚焦于API接口，医疗机构关注电子病历系统，零售企业则更关心购物车和支付流程。定制化的威胁建模能让安全措施精准对应那些可能真正扰乱业务运营的威胁。