¿Qué habla Adam Shostack en su libro Threat Modeling?

¿Qué habla Adam Shostack en su libro Threat Modeling?

Threat Modeling, está predominantemente centrado en la tecnología, pero el autor se esfuerza por explorar los factores humanos, un tema que también enfatizó en su libro anterior, The New School of Information Security. Obviamente interesado en los modelos sociales como de comportamiento y su aplicabilidad a la industria de la seguridad, Adam cataloga y describe varias teorías, aplicándolas a un alto nivel en nuestro campo. Y reconoce y articula explícitamente la necesidad de modelos mejorados para describir mejor cómo las personas "hacen" seguridad, así como el valor de incorporar a nuestros esfuerzos otras tradiciones de investigación como la sociología, la antropología y la psicología. Threat Modeling nunca aplica directamente a las personas la metodología STRIDE que Adam ayudó a crear, pero sirve como un respaldo tentador de técnicas de modelado de amenazas más culturales para complementar los modelos centrados en la tecnología y los actores de los que depende la industria hoy en día.

¿A que afectan las amenazas del PEPL?

Las amenazas de PEPL afectan los resultados de seguridad deseados en lugar de los sistemas delimitados. Estos resultados de seguridad son deseables, debido a una deliberación lógica y racional por parte de la organización que los definió como la forma en que deberían funcionar las cosas. Un resultado casi siempre será una combinación de personas, procesos y tecnología, y pueden existir amenazas para algunos o todos estos elementos.

Buenos ejemplos de resultados serían traer un producto de software al mercado que no tenga fallas de seguridad ocultas, o una organización que no se vea afectada por una violación masiva de datos debido a un sistema comprometido.

Como en el modelado tradicional de amenazas a la seguridad, la amenaza se basa en alguna vulnerabilidad en el sistema, aunque prefiero referirme a ellas como "debilidades" para evitar confusiones con vulnerabilidades técnicas. Las amenazas PEPL son: Políticas, Emocionales, Psicológicas y Logísticas. Por supuesto, el efecto final es una falla de seguridad que conduce a un incidente, a menudo provocado por la incapacidad de lograr el resultado deseado.

¿Cuál es la diferencia entre amenazas emocionales y psicológicas?

Las amenazas psicológicas están estrechamente relacionadas con las amenazas emocionales, y tal vez incluso contribuyan a algunas de ellas. Pero estas amenazas son diferentes en que se basan en las funciones y procesos cognitivos de las personas que las crean. Los investigadores en los campos de la psicología, el desarrollo humano y la economía del comportamiento pasan sus carreras tratando de comprender las razones ocultas detrás de las personas y sus decisiones. Las explicaciones van desde diferentes tipos de inteligencia entre individuos hasta diferentes sistemas cognitivos dentro de cada uno de nosotros. Las implicaciones para la seguridad pueden ser profundas, particularmente cuando, el proceso encubierto opera fuera de la vista y fuera de la mente, no disponible para análisis o incluso observación.

...