情報セキュリティマネジメント 平成30年度 春期 午前 問14

✓ これが正解エ システムの企画・設計段階からセキュリティを確保する方策のことである。

解説

企画・設計の段階からセキュリティを作り込む考え方です。

セキュリティバイデザインは、システムの企画・設計という上流の段階からセキュリティを確保する方策を組み込んでおく考え方です。出来上がった後に弱点を見つけて手当てするやり方だと、直すための作り替えが大きくなりますし、設計そのものに原因がある弱点は後から取り除きにくくなります。最初の段取りの中で安全のための要件を決めておけば、こうした手戻りを避けられます。残りの三つは、いずれも開発や運用が済んだ後の段階で調べて直す進め方であり、上流から作り込むという考え方とは手を打つ順番が逆です。

ほかの選択肢の解説

• ア …第三者の情報セキュリティ専門家が，脆弱性診断を行い，システムの品質及びセキュリティを高めることである。：開発が済んだシステムに第三者の専門家が脆弱性診断を行って品質を高めるのは、出来上がったものを検査してから直す進め方です。上流の段階で安全を織り込む方策とは、手を打つ時期が異なります。
• イ …リスクアセスメントを行い，リスクアセスメント結果に基づいてシステムを改修することである。：リスクアセスメントの結果に基づいて既にあるシステムを改修するのは、動いている対象の危険度を測ってから手を入れる進め方です。企画や設計の時点で対策を決めておくやり方には当たりません。
• ウ システムの運用において，第三者による監査結果を基にシステムを改修することである。：運用の局面で第三者による監査の結果を基に改修するのは、動かしてみた後の点検を出発点にする進め方です。作り始める前から安全を組み込むという考え方とは、着手の時期が違います。