# セキュリティ工学の分析フレームワーク ## 定義 Ross Anderson は『Security Engineering』第3版第1章で、依存可能(dependable)なシステムを構築するために揃うべき4つの要素からなる分析フレームワークを提示する。**ポリシー(policy)**は何を達成すべきかの規定であり、**機構(mechanism)**はポリシーを実装する暗号・アクセス制御・ハードウェア耐タンパ性などの装置である。**保証(assurance)**は個々の機構にどれだけ依拠できるか、また機構どうしがどれだけうまく協調するかの度合いを指し、**インセンティブ(incentive)**はシステムを守り保守する側が正しく仕事をする動機、および攻撃者側がポリシーを打破しようとする動機を指す。この4要素は独立に決まるのではなく相互作用する(Figure 1.1)。著者は9/11後の空港保安を例に、ハイジャッカーがナイフを持ち込めたのは機構の失敗ではなくポリシーの失敗(当時3インチ以下の刃物は許可されていた)であったこと、機構は複合材ナイフや無窒素爆発物に対して脆弱であること、保証は常に貧弱(無害な所持品の大量廃棄と実物兵器の高い見逃し率)であること、そしてTSAが効果より可視性の高い対策を優先したのは意思決定者のインセンティブが可視的対策に向いていたためであることを示す(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 1 What Is Security Engineering?]] ch.1 §1.2)。 ## 横断的知見 - **本フレームワークの「機構」象限は、[[セキュリティ設計原則]]が扱うSaltzer & Schroeder の7原則が対象とする層とほぼ一致するが、フレームワークはそれを「保証」「インセンティブ」という別の2象限で明示的に相対化する**: [[セキュリティ設計原則]]の7原則(オープンデザイン・秘密の最小化・完全な仲介・機構の経済性・共通機構の最小化・フェイルセーフなデフォルト・最小権限)はいずれも「機構をどう設計すれば正しく動くか」という問いへの答えであり、Anderson のフレームワークにおける機構(mechanism)象限にほぼ収まる。しかし Anderson のフレームワークは、機構が正しく設計されていることと、その機構が実際に依拠に値するか(保証)、そして機構を運用する人間・組織がそれを正しく使い続ける動機を持つか(インセンティブ)とを、別の問題として明示的に区別する。9/11後の空港保安の例では、機構(スクリーニング技術)自体の巧拙よりも、保証の欠如(実物兵器の高い見逃し率)とインセンティブの歪み(可視的対策の優先)のほうが実際の失敗の説明として重要だった。Saltzer & Schroeder の原則群はこの2つの軸(保証・インセンティブ)を扱わないため、両者を組み合わせると「機構が原則どおりに設計されていても、保証とインセンティブが伴わなければ依存可能なシステムにはならない」という、単一ソースからは見えない結論が導ける。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 1 What Is Security Engineering?]] ch.1 §1.2, [[@2009__MITOCW__Principles of Computer System Design - Chapter 11 Information Security]] ch.11 §11.1.3-§11.1.4) ## 未解決の問い - 「保証」象限を定量的に測定する具体的な手法(監査・評価プロセス・Common Criteria 等)は本章では触れられない。後続章(Part III、特に第28章 Assurance and Sustainability)を ingest すれば確認できる見込み。 - 「インセンティブ」象限がどう設計・測定されるかは第8章(Economics)で扱われる見込みだが、本章時点では9/11の例による例証にとどまる。 - 4象限は本書冒頭で Figure 1.1 として図示されるのみで、4つの間の定量的な重み付けや優先順位づけの方法論は示されない。他章でこの点が扱われるか要確認。 ## 関連 - ソース: [[@2020__Wiley__Security Engineering 3e - Chapter 1 What Is Security Engineering?]](§1.2) - 概念: [[セキュリティ設計原則]] - 実体: [[Ross Anderson]] ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 1, §1.2. - Jerome H. Saltzer and M. Frans Kaashoek, *Principles of Computer System Design: An Introduction*, Version 5.0, 2009, Chapter 11, §11.1.3-§11.1.4. MIT OpenCourseWare, CC BY-NC-SA 3.0 US.