运用乐高“SERIOUS PLAY”方法构建数字身份威胁模型

在万维网联盟（W3C），我们深知安全、隐私和用户权益密不可分。这种关联在数字身份技术领域尤为显著。随着这些技术的发展，我们理解和应对威胁的方式也必须与时俱进。

近年来，W3C社区一直致力于探索多种技术路径，通过威胁建模方法来应对技术威胁及其对个体造成的损害，从而确保包括数字身份验证在内的标准不仅能保护系统安全，更能切实保障用户权益。

2025年10月14日，我们与“威胁建模连接社区”（Threat Modeling Connect）联合举办了一场别开生面的研讨会，该研讨会主题为“运用LEGO© SERIOUS PLAY©方法构建数字身份威胁模型”。

本次研讨会将威胁建模流程与W3C的创新实践方法相融合，帮助参与者具象化潜在危害，将其转化为可识别的威胁形态，并构建数字身份生态中多维度威胁的内在关联。

从危害到威胁

传统的威胁建模框架依赖于不同的威胁分类方法，例如STRIDE和LINDDUN——W3C目前已分别采用这两种框架识别安全威胁与隐私威胁。然而，Web技术带来的社会与伦理影响需要我们从更宏观的视角进行审视。我们该如何准确识别那些可能危及人类福祉和社会发展的潜在威胁？

W3C采用威胁建模（Threat Modeling）与危害建模（Harms Modeling）相结合的方法，启动了数字身份分析的新阶段。该框架借鉴微软在负责任创新领域的早期研究，也融合了学术研究层面的深度拓展，其核心在于首先识别技术可能对不同利益相关方（如个人或群体）造成的负面影响，进而追溯这些影响背后的技术根源——即安全威胁，从而将危害建模与威胁建模相结合。

在数字身份认证领域，高层级威胁具有特殊重要性。政府颁发的身份凭证——包括公民身份证、护照和学历证书等——既可能成为社会包容的桥梁，也可能沦为排斥异己的工具。随着各国政府与组织机构逐步采用可验证凭证和数字钱包技术，相关的威胁已不再局限于技术故障层面，更延伸至用户画像分析、歧视行为乃至权益侵害等社会风险。

为何选择LEGO© SERIOUS PLAY©？

本次研讨会采用LEGO© SERIOUS PLAY© (LSP)方法，旨在弥合技术与经验之间的认知鸿沟。该引导方法由乐高集团于1990年代首创，主要用于战略构思与问题解决。LSP的理论根基在于“手脑协同”理念——即通过实体模型的构建过程，能够激活深层抽象思维，并促进更包容的集体参与。

在此环节，每位参与者都分得一套乐高积木，并接受了一项特殊挑战：“构建一个由危害演变而成的威胁”。这种融合触觉体验与隐喻表达的过程，成功将复杂而抽象的伦理社会议题，转化为参与者能够亲手构建、自由调整并相互关联的具象模型。

Simone是得到培训师协会（The Association of Master Trainers）认证的LEGO® SERIOUS PLAY®方法与材料的引导师。他解释道：通过游戏的方式将思维外化，我们得以让所有参与者共同看见并思考技术设计背后那些隐形的预设。

构建威胁模型

本次研讨会遵循LSP经典的“倾听-构建-分享-反思”四阶段模式，通过结合威胁建模流程的挑战设计，引导参与者从具体危害中构建威胁场景。W3C威胁建模社区组与安全兴趣组正在系统化归类各类危害与威胁。他们在Corti等人（2025）发表的《加强国家数字身份系统》研究中，发现了与数字身份相关的具体危害，包括：基于个人特征的歧视、超出授权范围的数据滥用、面临家庭暴力、遭受迫害，以及因交易成本增加导致的经济排斥等问题。

从独立模型到整体图景：关联性分析

在第二阶段，参与者需对模型进行空间布局，使危害与威胁之间的关联形成一个连贯的叙事，即集体威胁图景中的“主线叙事”。

这一关联性分析步骤揭示出：个体层面的危害很少孤立存在。例如，数据滥用会催生用户画像分析，进而引发歧视性服务；同理，遭受家庭暴力的风险与数字钱包安全机制的薄弱直接相关，这充分印证技术防护措施与社会安全保障具有不可分割性。

经验总结

在最后的回顾环节中，我们采用了传统的LEGO® SERIOUS PLAY®“小鸭子”练习：参与者重新搭建了他们在研讨会开始时制作的乐高小鸭子模型，并将所学到的见解融入其中。

参与者提出了以下见解：

• “金钱损失/支出导致生活水平下降”
• “我学会了以不同方式和形式连接想法与概念”
• “最意想不到的事物往往具有最强关联性”

这些见解让我们认识到：基于人类经验的威胁建模能够拓展我们的想象力。我们应共同推动安全与隐私分析实现根本性转变：从机械的清单核对，升华为对潜在未来（无论积极或消极）的协同探索。

研讨会后续

本次研讨会的实践表明，将LSP方法融入W3C的安全、隐私保护及用户权益相关工作不仅切实可行，更能带来深远推动力。

参与者成功实现了对复杂抽象危害与威胁的可视化呈现，该方法更有助于揭示传统文本分析往往忽略的潜在预设。

对W3C社区而言，这一创新实践与安全兴趣组、隐私工作组和威胁建模社区组持续推进的各项计划高度契合。

此次活动进一步强化了W3C对开放参与流程的坚定承诺。正如Web标准源于协作与透明，我们对威胁的理解也应当如此。

结论

以数字身份为主题的“使用LEGO® SERIOUS PLAY®进行威胁建模”研讨会，是将以人为本的思维融入技术标准化过程的重要一步。参与者不仅分析了威胁，还参与共同构建、关联并理解它们。

随着W3C社区持续定义下一代数字身份技术标准，我们时刻谨记：技术对社会产生重大影响。

W3C将在其“威胁建模社区组”内继续完善这种以用户和人为中心的方法，邀请更多人加入讨论，共同构建他们所面临的威胁模型。