ETSI TVRA是一种风险评估或威胁建模工具吗？

Question

ETSI TVRA TS 102 153 165-1是风险评估工具还是威胁建模工具？还有什么理由呢？问题的目的是能够回答TVRA是否适合映射到Microsoft的SDL，以及在哪个实践中(需求阶段的“实践4:执行安全和隐私风险评估”，或者设计阶段的“实践#7:使用威胁建模”)。

Answer 1

为了映射到Microsoft的SDL，这更接近于我们讨论威胁建模的方式。我不确定这份文件的目的，它看起来需要很多工作，但在浏览一下，还不清楚为什么要完成这项工作。

• 我们= MS团队，我在2006-2010年期间是该团队的成员，负责威胁建模和其他bits。