# 前提を確認する質問

コードからは読み取れない前提です。研修中は**3問まで**に絞って聞き、残りは既定値を採用します。既定値を使った項目は `THREAT_MODEL.md` の「置いた前提」に必ず書きます。

## 優先して聞く3問

1. このアプリは誰が使いますか（社内の全員 / 特定の部署 / 社外の人）
2. どこに置かれますか（社内ネットワークのみ / インターネットに公開）
3. 扱うデータで、外に出ると困るものは何ですか

## 既定値（聞かなかった場合に採用するもの）

| 項目 | 既定値 | 理由 |
|---|---|---|
| 利用者 | 社内の全従業員 | 備品管理という題材の性質から |
| 設置場所 | 社内ネットワーク内 | 認証の仕組みが無いため、公開前提では成り立たない |
| データの機微さ | 業務データ（備品と在庫）。個人情報は含まない | `data.sql` の項目から判断 |
| 認証 | 無し | コード上に認証の仕組みが見当たらない |
| 想定する攻撃者 | 正規の利用者のうち、権限を超えた操作を試みる人 | 社内設置の前提から |
| 可用性の要求 | 停止しても業務は止まらない | 台帳の補助という位置づけ |

## 聞かないこと

- 実際の社名・部署名・システム名（研修では架空のまま進めます）
- 本番環境の構成やIPアドレス
- 既知の障害履歴
