セキュリティバイデザインはいつ考え始めるか
基本情報技術者試験 平成30年度春期 午前 問42 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
セキュリティバイデザインの説明はどれか。
- ア
開発済みのシステムに対して，第三者の情報セキュリティ専門家が，脆弱性診断を行い，システムの品質及びセキュリティを高めることである。
- イ
開発済みのシステムに対して，リスクアセスメントを行い，リスクアセスメント結果に基づいてシステムを改修することである。
- ウ
システムの運用において，第三者による監査結果を基にシステムを改修することである。
- エ
システムの企画・設計段階からセキュリティを確保する方策のことである。
会話形式の解説
講師この問題では、セキュリティ対策を何のために行うかに加えて、いつ始めるかを確認します。
受験者脆弱性診断もセキュリティを高めるので、当てはまりそうに見えます。
講師脆弱性診断の対象は、開発のどの段階にあるシステムですか。
受験者開発済みのシステムです。企画・設計段階からの対策を説明しているわけではありません。
講師そうです。リスクアセスメント、つまりリスクを評価して改修する説明はどうでしょう。
受験者評価結果を生かしていても、改修するのは開発後です。始める時点が違います。
講師では、第三者の監査結果に基づく改修は、いつ行う対策ですか。
受験者システムの運用中です。これも企画・設計段階からの対策ではありません。
講師残る説明は、セキュリティをどの段階から確保すると述べていますか。
受験者企画・設計段階からです。対策を始める時点が条件に合うので、正解はエです。
講師そのとおりです。早い段階で対策を組み込むと、完成後に追加する場合より対策コストを抑えられます。
まとめ
セキュリティバイデザインは、システムの企画・設計段階からセキュリティを確保する考え方です。開発後の脆弱性診断やリスクアセスメントに基づく改修、運用中の監査に基づく改修とは、対策を始める時点が異なります。各選択肢では、対策の内容と開始時点を分けて確認します。早期に対策を組み込むと、完成後に追加する場合より対策コストを抑えられます。
解答・解説
正解はエです
この問題のテーマ
セキュリティバイデザインで、開発のどの段階からセキュリティを考慮するかを問う問題です。
解き方の考え方
各選択肢の対策を始める時点に注目します。セキュリティバイデザインは、企画・設計段階からセキュリティを確保する考え方です。この条件に合う説明を選びます。
選択肢ごとの解説
- ×ア 開発済みのシステムに対して，第三者の情報セキュリティ専門家が，脆弱性診断を行い，システムの品質及びセキュリティを高めることである。アの脆弱性診断は、開発済みのシステムを対象としています。診断によって問題を見つける方法ですが、企画・設計段階から対策を組み込む説明ではありません。
- ×イ 開発済みのシステムに対して，リスクアセスメントを行い，リスクアセスメント結果に基づいてシステムを改修することである。イのリスクアセスメントと改修も、開発が済んだ後に行います。評価結果を改修に生かすことと、企画・設計段階からセキュリティを確保することは、対策を始める時点が異なります。
- ×ウ システムの運用において，第三者による監査結果を基にシステムを改修することである。ウの監査結果に基づく改修は、システムの運用中に行うものです。運用段階での改善を述べており、企画・設計段階からの対策を示していません。
- ○エ システムの企画・設計段階からセキュリティを確保する方策のことである。エは企画・設計段階からセキュリティを確保すると述べています。対策を開発の早い段階で考えるという条件に合うため、これが正解です。
POINT
- 判断するときは、対策の内容に加えて、それを始める時点を確認します。
- 開発後の診断や改修は、企画・設計段階からの対策を示すものではありません。
- 早期に対策を組み込むと、完成後に追加する場合より対策コストを抑えられます。