security-requirement-extraction

セキュリティ要件の抽出

脅威分析を実行可能なセキュリティ要件に変換します。

このスキルを使用する場面

• 脅威モデルを要件に変換する
• セキュリティユーザーストーリーを作成する
• セキュリティテストケースを作成する
• セキュリティ受け入れ基準を構築する
• コンプライアンス要件をマッピングする
• セキュリティアーキテクチャを文書化する

中核となる概念

1. 要件のカテゴリ

Business Requirements → Security Requirements → Technical Controls
         ↓                       ↓                      ↓
  "Protect customer    "Encrypt PII at rest"   "AES-256 encryption
   data"                                        with KMS key rotation"

2. セキュリティ要件の種類

種類	焦点	例
機能	システムが何をしなければならないか	「システムはユーザーを認証しなければならない」
非機能	システムがどのように動作しなければならないか	「認証は2秒以内に完了しなければならない」
制約	課せられる制限	「承認された暗号ライブラリを使用しなければならない」

3. 要件の属性

属性	説明
トレーサビリティ	脅威/コンプライアンスへのリンク
テスト可能性	検証可能
優先度	ビジネス上の重要性
リスクレベル	満たさなかった場合の影響

テンプレートと詳細な実例

完全なテンプレートライブラリは references/details.md にあります。このスキルの具体的なテンプレートが必要な場合は、そのファイルを参照してください。

ベストプラクティス

すべきこと

• 脅威にトレースする - すべての要件は脅威にマッピングされるべきです
• 具体的にする - 曖昧な要件はテストできません
• 受け入れ基準を含める - 「完了」を定義します
• コンプライアンスを考慮する - 早い段階でフレームワークにマッピングします
• 定期的にレビューする - 要件は脅威とともに進化します

すべきでないこと

• 一般的にしない - 「安全にする」は要件ではありません
• 根拠を省略しない - なぜ重要かを説明します
• 優先度を無視しない - すべての要件が等しいわけではありません
• テストを忘れない - テストできなければ、検証できません
• 孤立して作業しない - ステークホルダーを巻き込みます