Modellazione di minacce di sorveglianza applicate a categorie sociali

Question

Modellazione di minacce di sorveglianza applicate a categorie sociali

#1 da (3 voti)
#2 da (0 voti)

2

Sto ricercando modelli di minacce agli utenti per un film documentario dedicato alla sorveglianza. L'idea è di identificare il modello di minaccia (asset da proteggere, attaccante, capacità dell'attaccante, minaccia, rischio di attacco) di diverse categorie di persone per aiutare a creare una migliore comprensione delle tattiche di sorveglianza e di contro-sorveglianza.

Ad esempio:

Un cittadino statunitense potrebbe voler proteggere alcune risorse (ad esempio informazioni sensibili) dai tracker per evitare una credibilità / credenziali bancarie da parte di un hacker black-hat.
Un giornalista in Germania che lavora a uno scandalo di insider trading dovrà proteggere la sua fonte dal suo datore di lavoro per ottenere la sua versione senza processo.
Un attivista kurdo che vive ad Ankara ha bisogno di comunicare con i suoi compagni per pubblicare una fanzine proibita. Il suo gruppo è esaminato dalle autorità turche. (...)
Altre categorie potrebbero essere: ricercatore per i diritti umani, adolescente vittima di bullismo, LGBT ... Cerco anche di identificare il modello di minaccia di persone che sarebbero meno a rischio e a cui le persone "normali / casuali" potrebbero facilmente riferirsi: un avvocato, un imprenditore con una tecnologia innovativa, un medico, un professore ..... .

Non ho trovato molto su questo approccio in rete, una parte della guida sulla difesa personale di SURV-sorveglianza , questo interessante < a href="https://medium.com/@gusandrews/user-personas-for-privacy-and-security-a8b35ae5a63b"> articolo , una lavagna e una storia cablata.

Che cosa pensi di questo approccio? Trovi rilevante / riducendo l'applicazione di un modello di minaccia alle categorie sociali, considerando il loro ambiente / regime in cui vivono?

Sto cercando materiale / letture relative al problema. Perdonami se ho abusato di alcuni concetti, ancora nuovi per l'argomento.

threat-modeling surveillance

posta Ojiro 01.08.2017 - 12:45

fonte

2 risposte

Leggi altre domande sui tag threat-modeling surveillance

L'applicazione di un regolamento CSP (Embedded Content Security Policy) rovina un CSP "normale"? Valuta questa strategia di prevenzione dell'iniezione SQL

score 3 · Answer 1

Il problema con i modelli di minacce è che richiedono una comprensione tecnica approfondita dell'argomento e delle capacità delle minacce. I tuoi 4 scenari richiedono modelli di minacce molto diversi e non sono qualcosa che puoi coprire in un documentario.

Ad esempio, ogni luogo toccato dai dati ha il proprio modello di minaccia. I dati sul tuo computer, i dati in transito, i dati a riposo nella destinazione e i metadati creati in ogni punto.

Invece di approfondire i modelli di minacce in ogni punto, si potrebbe applicare un modello di rischio (probabilità, impatto) in ogni punto e concentrarsi sull'affrontare i rischi più elevati. Se ogni punto di minaccia è ad alto rischio (anche memorizzando i dati sul tuo computer), allora hai altri problemi. Se esiste un punto che presenta un rischio più elevato (dati in transito), è possibile attenuare il problema.

Quindi, il mio consiglio è di esporre i rischi in ogni punto lungo il percorso dei dati e applicare le tipiche attenuazioni del rischio nei punti in cui c'è un rischio più elevato.

score 0 · Answer 2

Grazie Schroeder,

Ho esaminato una valutazione del rischio più profonda. Ho trovato persone che ne parlavano come Sean Gallagher in Arstechnica e Adam Shoshack Qui sono alcune buone letture per le persone che desiderano approfondire la questione.

La valutazione del rischio è comunque anche una parte della modellazione delle minacce, se ho capito bene. Poiché la probabilità della minaccia deve essere valutata e la mitigazione si concentra sul rischio più elevato.