平成30年度 春期 情報セキュリティマネジメント試験 午前 問14
テクノロジ／セキュリティセキュリティバイデザインの説明はどれか。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問14
- ア開発済みのシステムに対して，第三者の情報セキュリティ専門家が，脆弱性診断を行い，システムの品質及びセキュリティを高めることである。
- イ開発済みのシステムに対して，リスクアセスメントを行い，リスクアセスメント結果に基づいてシステムを改修することである。
- ウシステムの運用において，第三者による監査結果を基にシステムを改修することである。
- エシステムの企画・設計段階からセキュリティを確保する方策のことである。
正解：エ
解説
セキュリティバイデザインとは、システムの企画・設計段階からセキュリティを確保する方策のことで、開発の後工程で対策を追加するのではなく、早い段階からセキュリティを組み込む考え方です。
選択肢ごとの解説
- ア誤り。開発済みシステムへの第三者による脆弱性診断は，セキュリティバイデザインではなく事後的な評価です。
- イ誤り。開発済みシステムへのリスクアセスメントに基づく改修も事後的な対策です。
- ウ誤り。運用段階での監査結果に基づく改修も事後的な対策です。
- エ正しい。企画・設計段階からセキュリティを確保する方策がセキュリティバイデザインです。