ITパスポート 2023年 問61

IoTシステムなどの設計、構築及び運用に際しての基本原則とされ、システムの企画、設計段階から情報セキュリティを確保するための方策を何と呼ぶか。 【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを探す：「企画、設計段階から」「情報セキュリティを確保」など。
2. キーワードと選択肢を照合する：「設計段階から」が含まれる概念を選ぶ。
3. 関連語の意味を確認する：
   • 「バイデザイン」は設計段階で取り入れることを意味する語句です。
4. 他の選択肢が該当するか排除する：下記の誤答解説で確認します。

選択肢別の誤答解説

• ア: セキュアブート
  • 説明：セキュアブートは「起動時にOSやファームウェアの改ざんを検出して正当なソフトだけを動かす仕組み」です。ブート（起動）プロセスの安全を確保する技術であり、設計段階から全体のセキュリティ方針を決める概念ではありません。
  • つまり「部分的な技術対策」であり、設問の「企画・設計段階から広く確保する方策」とは異なります。
• イ: セキュリティバイデザイン（正解）
  • 説明：Security by Design（セキュリティ・バイ・デザイン）は、システムの企画や設計段階で脅威（攻撃される条件）を想定し、必要な対策を組み込む考え方です。要件定義、設計、実装、テスト、運用の各段階でセキュリティを確保します。IoTのように機器とサービスが結びつく環境で特に重要です。
• ウ: ユニバーサルデザイン
  • 説明：ユニバーサルデザインは「できるだけ多くの人に使いやすく設計すること」です。高齢者や障害者も含めた使いやすさを重視する概念で、セキュリティの発想とは目的が異なります。
• エ: リブート
  • 説明：リブートは「再起動（restart）」の意味です。機器やソフトを再起動する行為を指します。設計段階からのセキュリティ方針を示す言葉ではありません。

よくある誤解

1. 「設計段階から」と聞くと「セキュアブート（起動時の技術）」を思い浮かべてしまう
   • セキュアブートは重要な対策ですが、あくまで具体的な技術の一つであり、企画・設計段階からの方針全体を指す言葉ではありません。
2. セキュリティバイデザインは「暗号だけ」だと思う
   • 暗号（データの秘匿）は一部にすぎません。設計段階で行うのは、脅威の分析、権限設計（最小権限）、安全な更新機構、ログ・監視設計など、多面的な対策です。
3. 「設計段階からやれば済む」と考えてしまう
   • 設計段階からの組み込みは費用対効果で有利ですが、運用中の脆弱性対応やソフト更新、監視も必須です。バイデザインはライフサイクル全体の姿勢を指します。

補足コラム

• 脅威モデリング（攻撃される経路を設計前に洗い出す）
• 最小権限（必要最小限の機能・権限だけ与える）
• 安全な更新（ファームウェア/ソフトの確実で改ざんされないアップデート）
• 通信の暗号化（データを第三者に読まれないようにする）
• 端末認証（正しい機器だけを接続させる）
• ロギングと監視（異常を早期に検知する）

FAQ