問題 No.6994
セキュリティバイデザインに関する記述として不適切なものはどれか。
【正解の解説】
システム開発の最終段階において、脆弱性の有無を検査しセキュリティ機能を後付けで組み込む設計手法のことである。
家を建てた後に「やっぱり防犯カメラをつけよう」と後から慌てて工事をするようなものです。セキュリティバイデザインとは、設計の初期段階から安全性を組み込む考え方であり、完成間近になってから慌てて対策を追加するような非効率なやり方は、まさにこの用語の理念とは真逆のやり方を指しています。
スポンサーリンク
【その他の選択肢の解説】
企画や要件定義の初期段階からセキュリティ要件を組み込み、開発工程全体を通じて安全性を確保する設計手法のことである。
これはまさにセキュリティバイデザインの本来の定義そのものです。料理を作る時に、後から辛さを足すのではなく、最初からレシピに辛味を織り込んでおくようなもので、上流工程から安全性を意識することで、後からの手戻りを防ぎ強固なシステムを作ることができます。
プライバシーや個人情報の保護に関する法的規制を遵守するため、データ処理の透明性を最初から考慮して構築する手法のことである。
一見すると関係のないように思えますが、これはプライバシーバイデザインと呼ばれる非常に近い概念です。セキュリティだけでなく個人情報の保護も設計の初期段階から組み込もうというものであり、セキュリティバイデザインの思想をさらに広げた関連アプローチとして試験でもよく問われます。
稼働中のシステムに対して定期的な脆弱性診断を実施し、発見されたリスクを修正パッチによって段階的に解消していく手法のことである。
これはシステムが動き出した後の運用・保守フェーズにおける脆弱性管理やペネトレーションテストなどの説明です。セキュリティバイデザインはあくまで「設計段階（デザイン）」に焦点を当てた言葉であるため、稼働後の対応を指しているこの選択肢は誤りとなります。