情報セキュリティマネジメント 2018年 春期 午前（科目A） 問14

セキュリティバイデザイン【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワードを探す：「企画・設計段階」「開発済み」「運用」「第三者」など。
2. 「企画・設計段階」＝初期段階から組み込む概念と結びつける。
3. 各選択肢が「事前対策（設計段階）」か「事後対応（開発後・運用後）」かで分類する。
4. 設計段階からの対策を示す選択肢を選ぶ（この問題では エ）。

選択肢別の誤答解説

• ア：開発済みのシステムに対して第三者が脆弱性診断を行う、という内容です。
  • 脆弱性診断は既存システムの弱点を探す作業であり、事後の検査・改善に当たります。セキュリティバイデザインの「設計段階から組み込む」という本質とは異なります。
  • 脆弱性診断（vulnerability assessment／脆弱性の洗い出し）とは、システムの弱点を見つける作業です。
• イ：開発済みのシステムをリスクアセスメント（危険を評価する作業）に基づいて改修する、という内容です。
  • リスクアセスメント（risk assessment：リスクの評価）は重要ですが、これも通常は既存のシステムに対する事後対応であり、設計段階からの組み込みとは違います。
• ウ：運用段階で監査結果を元に改修する、という内容です。
  • 監査（audit：規程や運用の適合性を第三者等が確認すること）に基づく改修も事後対応で、やはり設計段階での組み込みとは異なります。
• エ：システムの企画・設計段階からセキュリティを確保する方策である。
  • これがセキュリティバイデザインそのものです。設計時に脅威分析やセキュリティ要件を盛り込み、後の工程での手戻りを減らします。

よくある誤解

• 「セキュリティバイデザインは単なるチェックリスト導入だ」
  • チェックリストは一部に過ぎません。本質は脅威を想定して設計決定（認証方式、権限設計、暗号化など）を行うことです。
• 「後からセキュリティ対策すれば同じだ」
  • 後付けは手戻りが大きく、設計上の前提（データフローや権限設計）に深く関わる欠陥は修正が難しく高コストになります。
• 「セキュリティはIT部門だけの仕事だ」
  • 企画・業務要件、法務、運用担当など複数部門の協働が必要です。設計段階で関係者を巻き込むことが重要です。

補足コラム

• 企画フェーズで「扱う個人情報」「想定される不正操作」「可用性要件」を明確化。
• 設計フェーズで「最小権限（least privilege）」「デフォルト安全（fail-safe defaults）」「防御の層（defense-in-depth）」を採用。
• 開発パイプラインに自動化ツールを組み込み（例：SAST（Static Application Security Testing：静的解析ツール）やセキュリティ要件のチェック）して、早期に問題を検出。
  職場では「要件定義書にセキュリティ要件を必ず入れる」「設計レビューに関係部署を含める」「ベンダー契約にセキュリティ基準を明記する」などが実務的な対策になります。

FAQ