Underlying Technical Models for Information Technology Security(NIST SP800-33)
発行機関：NIST
発行年月日：2001年12月
※このガイドラインは2018年8月1日に廃止文書になりました。このガイドラインの内容はRMF（NIST SP800-37）や、CSFに取り込まれました。
参考
- NIST SP800-37
連邦政府情報システムに対するリスクマネジメントフレームワーク適用ガイド（NIST SP800 37） - 家studyをつづって - CSF
「重要インフラのサイバーセキュリティを改善するためのフレームワーク」の概要 - 家studyをつづって
概要
Underlying Technical Models for Information Technology Security(NIST SP800-33)は、「情報技術セキュリティの基礎となる技術モデル」というような和訳がされる文書で、
情報技術セキュリティの基礎となる技術モデルに関する指針を示しています。
このガイドラインは、セキュリティやシステムの設計者に対して、セキュリティ機能の設計と開発において考慮されるべきモデルを簡潔な形式で示しています。
セキュリティとは
セキュリティは、セキュリティの3要素であるCIA（機密性、可用性、完全性）を維持する活動です。
機密性
許可されたもののみが情報にアクセスできることを確実にする。
完全性
情報及び処理方法の正確さ及び完全である状態を完全防護すること。
（情報を改ざんされないようにすること）
可用性
許可された利用者が、必要な時に情報にアクセスできること。
また、上記のセキュリティの要素は相互依存関係にあり、その他の要素を考慮しないで、一つの要素のみを実現することはできないとしています。
脆弱性、脅威、リスク
脅威とは、「組織に損害を与える可能性の『潜在的な原因』」のことです。
脅威には以下のようなものがあります。
- 悪意のある者による攻撃
- ヒューマンエラーや障害
- 災害
脆弱性は、セキュリティ上の問題個所のことです。
脅威と脆弱性が合わさることで被害（インシデント）が発生します。そしてインシデントの発生可能性をリスクといいます。
以下は一つの例です。
「攻撃者がSQLインジェクション攻撃（脅威）をパッチが未適用のWebサーバ（脆弱性）に行うと、結果的にWebサイトが改ざん（発生しうるインシデント＝リスク）される。」
