有効な戦略から守ることができない脅威を無視していますか？
ある種の脅威から守ることができない場合、その脅威を無視することは有効ですか？脅威から防御するのではなく、単に症状を軽減してください。
この例は、DRMがデータの保護に効果的ではなかったメディア配布から来ています。最終的には、クライアントが実際にそれを表示するためにある時点で無防備にする必要があるため、クライアントが保護を回避するのを妨げるものは何もありません。
上記の特定のケースはよく知られていますが、いくつかの類似のケースはあまり知られていない場合があります。保護対策の開発は法外なコストになる可能性があることを考えると、いつクライアントに次のことを勧めるべきでしょうか。
- セキュリティの脅威を無視する
- ビジネスモデルを脅威を回避するモデルに変更する
あなたは脅威を決して無視しないでしょう、そしておそらくそれはあなたの言い回しに対する意味論です。与えられた脅威のリスクを受け入れるか、軽減するか、または外部委託します。この場合、それは次のようになります。
- $ Xの損失があることを受け入れ、
- 製品を保護するために修正DRMを軽減するか、代替DRMを見つける、または
- 保険の場合と同じように、保険を使用して外部委託したり、誰かにリスクを課したりします。
あなたのケースでは、1）が受け入れられない場合、選択肢として2または3に移動する必要があります。
TL; DR：[〜＃〜] no [〜＃〜]（「無視する」の意味を定義する必要があります。質問のテキストから、私は実際には同じ意見だと思います） 。
脅威を「無視」することはありません。古代の鋸は、あなたが回避できない脅威を恐れていないと述べています-stultum est timere quod vitare non potes 、恐れはあなたに何も役立たないので。
しかし、あらゆる面と結果において完全に避けられない脅威はほとんどなく、考慮から少なくとも利益を得ないので、残っているのはそれらを無視することによってある程度の時間を節約することです。
たとえば、死を回避することはできませんが、医学とライフスタイルで可能な限りそれを遅らせるように努めます。あなたは保険と意志でそれを計画します;あなたはあなたが気にかけている人々への影響を軽減し、可能で合法であれば、あなたはあなた自身への影響（できる限りの影響）を軽減しようとします。
それは脅威が少ないこととまったく同じです（宗教的な影響は差し引かれます）。
まず、脅威とその攻撃面を定義します。次に、攻撃の可能性を減らすことができるかどうか、またどのようなコストで削減できるかを評価します。ここで、「ビジネスモデルを再考する」という部分が出てくるかもしれません。あるいは、「プロジェクトを完全に中止する」か、「誰かに捨てる」ことすらあります。
次に、脆弱性があることを知っていますが、それでも、その脆弱性が悪用されているかどうか、どの程度、どのような損害が実際にあるかを判断するという問題が残りますis。コンテンツの複製シナリオでは、これは、違法にコピーされているものとその量を通知できるセンサーを配備することを意味します。いくつかの司法管轄区では、経済的損害またはそのリスクを定量化できるまでは、何もできません。
損害（実際および潜在的）を知ることも、戦略を選択するための鍵です。被害が最小であり、最小のままである可能性が高いことが判明した場合は、何もしないことを選択できます（ただし、監視を続けます！）。または、損害にも明るい面がある場合-たとえば、ソフトウェアの違法コピーは、他の方法では存在しない違法なユーザーベースが存在することを意味し、そのユーザーベースの一部はいつか別の方法で合法化する必要があります。学生が違法に慣れ親しんで、CVで提供したり、大企業の購入の選択に影響を与えたりするオフィススイートを考えます（UnknownOffice v1.0を採用していますか？または、WellKnownOffice 1.0を好みますか？これ熟練したユーザーの可用性を反映している-したがって、彼らの賃金に）。とにかく得ることができなかったであろう多くのユーザーを「失う」-大きな仮想損失、ゼロの収益損失-そして、他の方法では得られなかったであろういくつかのユーザーを得る。それでも、おそらくホームライセンスまたは学生ライセンスを調べる必要があるか、無料試用版またはオープン限定バージョンを提供する必要がありますが、この場合、「脅威」は実際にはhelpingあなた。
被害が甚大であることが判明した場合は、他の戦略を検討できます（おそらく政治的です-起訴を可能にするために法律を変更することはできませんか？-または技術的-ドングルシステムはどうですか？ライブストリームのみを認証済みユーザーに提供しますか？互換性のない表示システムを所有していますか？-これらはすべて、拡散にも影響を与える非常にコストのかかるオプションなので、それらを考慮しても正当化するためのハードデータが必要です）。
そして、ダメージがあったとしても、それを受動的に受け入れるという意味ではありません。損傷の一部は封じ込められるか、そうでなければ制限、減少、または何らかの影響で軽減されます。
危険の一部を取り除くように設計された戦略を積極的に採用したり、それをソースに反映したりできます。ここで風を吹くだけですが、公式リリースから一定の時間が経過した後、デジタルコンテンツの低品質バージョンを定期的にリリースする場合、違法なコピー機のかなりの部分を激しく破壊することになります（一部の管轄区域では、コピーをする人にとってはもっと難しいケースです）。これにより、違法コピーの可用性が低下し、収益が増加する可能性があります。それはone理論です。もちろん、テストする必要があります。次に、さまざまな品質と遅延を試して、どれが最も効果的かを確認します。あなたは内部告発者に賞金をかけることができます：海賊版ライセンスをほぼ無料で合法的なものに変えることができる海賊版防止スキームを覚えていますあなたが購入の証明を作成できれば海賊版素材。これは家庭用海賊行為に対して何もしませんでしたが、中小企業に違法にソフトウェアを提供するリスクは非常に大きかったです。ソフトウェアに課金したものは何でも、ゼロコストライセンスに勝ることはできません。
リスクを制御するための4つの基本的な戦略があります。
- 回避：脆弱性の残りの制御されていないリスクを排除または低減する保護手段を適用する
- 移転：リスクを他の領域または外部エンティティにシフトする
- 緩和策：脆弱性が悪用された場合の影響を軽減する
- 受け入れ：影響を理解し、制御または軽減せずにリスクを受け入れる
そして、「Acceptance」は「Ignorance」とは異なります。
リスクがある場合は、無視しても単純に消えるわけではありません。リスクが十分に小さい場合、それが発生する可能性は低く、おそらく無視できます。これは通常のリスク管理の一部です。つまり、完全に安全なシステムはありません。
しかし、リスクが無視できないほど大きい場合は、悪い考えです。したがって、この場合、無知は有効な戦略ですが、無用の戦略と考えることができます。リスクへの対処はより良いでしょう。つまりDRMを使用した例では、これはビジネスモデルの変更、または法体系の変更を求めるロビー活動であり、攻撃者のリスクを増加させることにより、お客様自身のリスクを削減します。
無視するのではなく、脅威を評価し、損失を決定し、脅威を防御するためのコストを決定することをお勧めします。
防御するためのコストが損失よりも高い場合、脅威に対処するための戦略を立てることなく、脅威の損失を受け入れることを選択することは有効です。
ただし、他の人が指摘しているように、それほどコストがかからない脅威を管理する方法はたくさんあります。例として、DRMの脅威は、「車を盗むことはできません...」という社会的圧力を利用して管理されています。また、DRMを破るとユーザーが財務上のリスクを冒している可能性があることを示唆するよく知られた訴訟が行われています。
一部のセキュリティ研究者は防御を主に技術的なソリューションに制限していますが、オープンマインドなセキュリティ脅威研究者が利用できるツールはもっとたくさんあります。
脅威を防止できないからといって、脅威を「無視」してはなりません。脅威には、前と後の2つの側面があります。 「前」について何もできない場合、「後」はまだ存在します。
たとえば、サービス拒否は防ぐのが非常に困難です。十分なリソースを持つ断固とした攻撃者（またはsomeリソースを持つ愚かな断固とした攻撃者）があなたを捕まえることを決定した場合、サイトをシャットダウンする以外にできることはたくさんありません。事前に、またはあなたのホスティングプロバイダー/ ISPがあなたの状況を助けるためにそれらのリソースのいくつかを使用することを願っています.
ただし、サービス拒否が発生した場合の影響を軽減するための試みを行うことはできます。純粋なWebサイトはこのように多くのことを行うことはできませんが、そのようなことが可能な例は、Webサイトとの接触を必要とするソフトウェアです。サーバーにデータを保存するプログラムがあるとします。一時的にデータをローカルに保存し、新しいデータのダウンロードを必要とする機能を制限することで、ダウンしたサイト（またはユーザーの側に問題がある場合はネットワーク）を処理する機能を組み込むことができます。
これは、たとえそれを防ぐためにほとんど何もできなくても、ソフトウェアでのサービス拒否のeffectsを軽減するのに役立ちます。脅威を単に無視することは、そのような緩和の取り組みを試みるべきではないことを示唆します。
もちろん、効果の軽減さえも困難または不可能である場合があります。私が示唆したように、Webサイトは、応答が遅い間に帯域幅の請求を実行または停止する以外にできることはほとんどありません。このようなケースでは、おそらく「無視」を適用できますが、「問題を緩和するために何もできないことを受け入れる」ことは、より政治的で冗長な用語になる可能性があります。
ある程度、それは規模の問題でもあります。 Googleのように巨大なIT/Web会社を運営している場合、継続的なサービス拒否の例では、スミス夫人のペイストリーオンラインよりも、法執行機関が直接関与したり、さまざまな裏技の技術的トリックなどの選択肢が増える可能性があります。
DoSは、防止が困難または不可能である脅威の典型的な例であるため、主にDoSを使用しましたが、同様の推論プロセスをほとんどすべてに適用できます。
あなたがDRMについて言及したので、あなたの緩和の努力は時々コストを伴うかもしれないということは注目に値する点だと思います。その場合、ユーザーの満足度が低下し、PRが低下します。一部の純粋なITケースでは、コストの増加とパフォーマンスの低下の可能性があります。これらのコストを比較検討することで、少なくとも重大な問題になることが判明するまでは、脅威の影響でさえ無視する価値があると判断するかもしれません。
無視はかなり強力な言葉ですが、対処するのが難しい脅威が明らかになるようなことをしないようにするために、多くの企業で標準的な手順であると言えます。
ほとんどすべてのITショップでの一般的なポリシーは、「デューデリジェンス」を行うことです。これは、基本的には、本来行うべきことを行うことを意味します。非常に高度な攻撃（中国語APTなど））は、通常、コンピューターにAVをインストールするなどの標準的なデューデリジェンス手法では検出できないため、一般的なIT部門では簡単に処理できません。
つまり、基本的にこれが意味することは、APT=侵入が検出された場合、会社は問題を解決するために特別で専門知識の高いセキュリティコンサルタントを雇う必要があります。これは非常に費用がかかります。したがって、最終的な結果誰もが動揺しているということです。費やされた費用のためにCEOは怒っています。IT部門はそもそも物事を起こさせているので見栄えが悪いです。最後に、スーパープロがシステムを一掃した後でも、保証はありません。侵入者はまだ存在せず、ネットワーク上のどこかにコードがあります。
したがって、これらすべての理由で、平均的なIT部門はそこに行きたくないので、このような問題を引き起こすようなことは何もしません。一般的な考え方は、それが標準的な方法（AVおよび商用IDS）で検出できない場合、それらに関する限り存在しないということです。