man in black jacket using computer

網路上的資安建議常常互相矛盾，也讓人焦慮——好像永遠做不完。但適合記者的做法不一定適合你，能擋國家級監控的手段，對防前任騷擾者可能太複雜。關鍵不是「做到最滿」，而是先搞清楚：你面對的到底是什麼威脅。這個思考過程，資安圈叫「威脅建模」。

  • 資安不是「做越多越好」，而是「防對的威脅」。
  • 先問四件事：我要保護什麼、我在防誰、被拿到會怎樣、我願意付出多少。
  • 想清楚了，才知道哪些建議對你重要、哪些可以先跳過。
  • 這是所有高風險準備的起點。

名詞小教室：威脅建模就是有系統地想清楚「你要保護什麼、可能被誰威脅、對方有多大能力、你願意花多少力氣防」。它不需要技術，只需要誠實面對自己的處境。想清楚之後，資安建議就從「無止盡的清單」變成「你這個情況下最該做的幾件事」。

問自己這四個問題

  1. 我想保護的是什麼？（例如：住家地址、真實身分、與某人的對話、消息來源）
  2. 我在防的是誰？（例如：前任、騷擾者、起底你的網友、雇主、某個機構）
  3. 如果被他們拿到，會發生什麼？（後果多嚴重、是否危及人身安全）
  4. 我願意為此付出多少心力？（有些防護要花時間或改變習慣，值不值得）

沒有「一體適用」的答案。同樣是「要不要用真名」，對一般人可能無所謂，對正在躲避跟蹤者的人卻攸關安全。別盲目照抄別人的清單，也別因為「做不到全部」而放棄——先從你最在意的那個威脅開始，做一件事就有一件事的保護。

自我檢查

  • 我知道自己最想保護的是什麼
  • 我清楚自己在防的是誰
  • 我評估過被拿到的後果有多嚴重
  • 我打算從最在意的那個威脅先著手

威脅建模聽起來很專業，其實就是「先想清楚再行動」。花十分鐘誠實地問自己這四個問題，接下來的每一步都會更省力、也更到位。這個專區的其他文章，都可以照你的威脅模型來取用。