TMC Tokyo Local Meetup: 脅威モデリングナイト #18

脅威モデリングの知見共有を目的としたオープンコミュニティ

このコミュニティミートアップはスピーカーによる様々なトークをメインに、脅威モデリングに関する知見の共有を目的としたベンダーニュートラルなオープンコミュニティイベントです。自由な議論を推奨します。

主催

脅威モデリングコネクト東京 / Threat Modeling Connect Tokyo Chapter (略称:TMC Tokyo)

グローバルコミュニティスポンサー

IriusRisk (https://www.iriusrisk.com/)

チャプタースポンサー

株式会社セキュアモデリング (https://secure-modeling.jp/)

対象者

脅威モデリングに興味のあるすべての方

トーク

チーム主体型脅威モデリング移行モデル

• 専門家主導からチーム主体へ -

概要： 脅威モデリングが目指す先は、組織全体でセキュリティに取り組める状態です。組織の一人ひとりが、日常の中で自然に脅威とその対策を考えられること。そのためには、脅威を考える習慣を組織に浸透させることが理想だと考えます。

しかし、全員参加を実現するには、脅威モデリング（あるいは脅威を考える習慣）の活動を組織内でスケールさせなければなりません。そのためには、セキュリティ専門家が主導する段階から始め、徐々に現場のメンバーが主体となる形へ移行していく必要があります。

本トークでは、その移行の過程を段階に分け、それぞれの段階における役割や関与の範囲をモデルとして整理します。

主な対象は、脅威モデリングを組織内に広げようとしている実践者です。一方で、参加者のみなさんとのディスカッションを通じて、実践経験のない方にも、将来取り組む際の視点や手掛かりを持ち帰っていただける内容にしたいと考えています。

スピーカー：株式会社セキュアモデリング 小笠貴晴

スピーカープロフィール： 株式会社セキュアモデリング代表取締役。アプリケーション、モバイル分野のセキュリティ評価に長年携わり、現在は脅威モデリングを中心に、設計段階からセキュリティを組み込むためのコンサルティング、教育、組織への導入・内製化支援を行う。OWASP SendaiおよびThreat Modeling Connect Tokyoの運営を通じ、国内での実践と普及にも取り組んでいる。

AIを用いたアプリケーションに対する脅威モデリング

概要：生成AIやLLMを組み込んだアプリケーションが急速に普及する一方で、それを設計段階でどう評価すべきかの共通認識はまだ十分に確立されていません。 プロンプトインジェクションや学習データの汚染、エージェントによる自律的な外部操作など、従来のアプリケーションのセキュリティでは想定してこなかった脅威が存在します。 しかし、これらはまったく新しい問題ばかりではなく、既存の脅威モデリングの枠組みで捉えられる部分も少なくありません。重要なのは、AIをどう利用しているのか、例えばAPIの呼び出しにとどまるのか、RAGを伴うのか、エージェントとして動作するのかという利用形態ごとに、検討すべき観点を整理することだと考えます。 本トークでは、AIの利用パターンを分類したうえで、どういった手法で脅威モデリングを行うのが良いかを検討します。 主な対象は、AIを利用したアプリケーションの開発・設計に関わる方や、既存の脅威モデリングの実践をAIの領域へ広げたいと考えている方です

スピーカー：株式会社セキュアサイクル 服部祐一

スピーカープロフィール： 九州工業大学卒。在学時はスマートフォンを使った行動認識の研究に携わり、Microsoft Research AsiaにてResearch Internshipとして行動認識の研究に従事。その後、ベンチャー企業でチーフエンジニアとして新規Webサービスの開発や脆弱性診断の経験後、情報セキュリティ専門会社のCTOを経て現在に至る。各地のセキュリティ関連イベントや、企業、大学等での講演・トレーニング多数。現在も脆弱性診断や開発時のセキュリティ対策のコンサルなどの実務にも携わる。

スケジュール

18:30 会場オープン

19:00 イベントスタート質疑応答フィードバックコメント随時

21:30 会場撤収

行動規範

1. 尊重の精神

すべての参加者、講演者、スポンサー、ボランティアは、性別、性的指向、障がい、外見、体サイズ、人種、民族、年齢、宗教、技術選択に関わらず尊重をもって接することを求めます。

2. ハラスメントの禁止

以下のようなハラスメント行為はコミュニティ内で許容されません：

性的な言葉や画像の使用

脅迫、ストーカー行為、つきまとい

攻撃的なコメントやジョーク

他人の個人情報の公開

その他の不適切な行動

3. 参加者の責任

ミートアップの参加者は、これらのルールを守る責任があります。ハラスメントを目撃した場合、主催者に報告することが求められます。

4. 主催者の役割

主催者は、行動規範に違反する行為に対して適切な対応を行います。これには警告の発令や、ミートアップからの退場命令も含まれます。

5. 安全な環境の確保

我々の目標は、すべての人にとって安全でポジティブな経験を提供することです。参加者一人一人がこれに貢献することをお願いします。