了解自己的状况是保护安全的第一步

试图始终保护所有人的数据是不切实际的,还很可能筋疲力尽。

但是,不要怕!安全是一个过程,通过周到的计划,您可以评估什么是真正适合您的。

安全性与您使用的工具或您下载的软件并不直接相关。首先要了解您面临的独特威胁以及如何应对这些威胁,才是最重要的。


在计算机安全方面,您可以通过确定需要保护的内容以及需要保护的人来应对您面临的威胁。此过程称为“威胁建模”。

本指南将教您如何制作简单的威胁模型,或如何评估您的数字信息风险,以及如何确定最适合您的解决方案。

威胁建模可能是什么样的?假设你想保持你的房子和财产安全,这里有几个问题你可能会问:

  • 我家里有什么值得保护的东西? — — 资产可能包括:珠宝,电子产品,财务文件,护照或照片等;
  • 我想防备什么人? — — 对手可能包括:窃贼,室友或客人;
  • 我保护它的可能性有多大? — — 我的邻居有盗窃史吗?我的室友/客人有多值得信赖?我的对手有什么能力?我应该考虑哪些风险?
  • 如果我失败会有多严重的后果? — — 有什么东西是我无法弥补吗?我有时间或金钱来弥补这些东西吗?我是否有保险足够赔偿这一切?
  • 我愿意花多少钱来防止这些后果? — — 我愿意为敏感文件购买保险箱吗?我可以买得起高质量的锁吗?我是否有时间在当地银行开一个保险箱并将贵重物品放在那里?

一旦您问自己这些问题,您就可以评估要采取的措施。如果你的财产很有价值,但是闯入的风险很低,那么你可能不想在保护层面投入太多钱。但是,如果风险很高,您很可能希望获得市场上最好的锁,并考虑添加安全系统。

构建威胁模型将帮助您了解您独有​​的威胁,评估您的资产、攻击者以及攻击者的能力,最重要的是您面临的风险。

威胁建模可帮助您识别对您重要的事物的威胁,并确定您需要防备什么人。在构建威胁模型时,请回答以下五个问题:

  • 我想保护什么?
  • 我想防备谁?
  • 如果我失败会有多严重的后果?
  • 我保护它的可能性有多大?
  • 我愿意花多少钱来防止潜在的后果?

让我们仔细看看这些问题。

“资产”是您重视并希望保护的东西。在数字安全的背景下,资产通常是某种信息。例如,您的电子邮件,联系人列表,即时消息,位置和文件都是可能的资产。您的设备也是资产。

列出您的资产:您保留的数据,在哪保存,谁有权访问这些数据以及如何阻止他人访问数据。

要回答这个问题,先确定谁可能想要定位您或您的信息对谁非常重要。对您的资产构成威胁的个人或实体就是“对手”。潜在对手的例子包括:政府和警察、您的老板,您的前合作伙伴、您的商业竞争、或公共网络上的黑客。

列出您的对手或可能希望获得您的资产的人员。清单可能包括个人、政府机构或公司。

⚠️根据您的对手是谁,在某些情况下,您可能希望在完成威胁建模后销毁此列表。

攻击者可以通过多种方式威胁您的数据。例如,攻击者可以在通过网络时读取您的私人通信,也可以删除或损坏您的数据。

对手的动机和攻击的区别很大。试图阻止视频传播的政府可能会满足于简单地删除或减少该视频的可用性。相比之下,政治对手可能希望获得秘密内容并在您不知情的情况下发布该内容。

威胁建模涉及了解如果攻击者成功攻击您的某个资产,后果可能会有多糟糕。要确定这一点,您应该考虑对手的能力。例如,您的移动电话提供商可以访问您的所有电话记录,因此可以使用该数据;开放式 Wi-Fi 网络上的黑客可以访问您未加密的通信;政府可能有更强大的能力。

区分威胁和风险很重要。虽然威胁是可能发生的坏事,但风险是威胁发生的可能性。例如,您的住房可能会崩塌,但是在旧金山(地震很常见)比在斯德哥尔摩(几乎没有)的情况下发生这种情况的风险要大得多。

进行风险分析既是个人过程,也是主观过程;并非每个人都以相同的方式拥有相同级别的威胁。许多人发现某些威胁无论风险如何都是不可接受的,因为仅仅存在威胁就是可怕的。在其他情况下,人们可能忽视高风险,因为他们不认为威胁是个问题。

回答这个问题需要进行风险分析。例如,代表国家安全案件中的客户的律师可能愿意花更多的时间来保护关于该案件的通信,例如使用加密的电子邮件。再比如,微信的监控和审查是每个人面对的同样级别的威胁,但是五毛会忽略它,而任何拥有足够智商的人则必须重视它。

请记住,您的威胁模型可能会随着您的情况的变化而变化。因此,进行频繁更新的威胁建模评估是很好的做法。

根据您自己的独特情况创建自己的威胁模型。然后将日历标记为将来的日期。这将提示您检查您的威胁模型,并更新它,以评估它是否仍与您的情况贴合。⚪️

广告

发表评论

此站点使用Akismet来减少垃圾评论。了解我们如何处理您的评论数据