平成30年度 春期 午前 問42

✓ これが正解エシステムの企画・設計段階からセキュリティを確保する方策のことである。

解説

企画・設計の段階から安全を作り込む考え方です。

できあがったものを後から直す形では、直せる範囲がその時点の作りに縛られます。土台の設計まで戻る手直しは費用も時間もかかるので、安全のための仕掛けは、作り始める前の段階で組み込んでおくほうが確実です。セキュリティバイデザインは、まさにこの考え方を指す言葉でした。だから、システムの企画・設計段階からセキュリティを確保する方策のことである、と述べた肢が当たります。判定の軸は一つだけで、手を打つ時点が開発の前なのか後なのかです。残る三つは、いずれもシステムができあがった後や、運用に入った後の手当てを述べており、時点が反対側にありました。並べて読むと、同じ安全のための活動でも、設計に間に合わせるのか、動いているものへ当てるのかで意味が変わることが見えてきます。

ほかの選択肢はなぜ違うのか

• ア開発済みのシステムに対して，第三者の情報…：開発済みのシステムに対して、第三者の情報セキュリティ専門家が脆弱性診断を行い、品質と安全性を高めると述べています。診断が始まるのは作り終えた後です。設計そのものへ手を入れる考え方とは、動きだす時点が違いました。
• イ開発済みのシステムに対して，リスクアセス…：開発済みのシステムに対してリスクアセスメントを行い、その結果に基づいてシステムを改修すると述べています。危険を洗い出す活動は大切ですが、対象はすでに形になったシステムです。作る前から組み込むという話ではありません。
• ウシステムの運用において，第三者による監査…：システムの運用において、第三者による監査結果を基にシステムを改修すると述べています。運用に入ってからの改善なので、手を打つ時点はさらに後ろへ寄ります。企画や設計の段階を指した説明にはなりませんでした。