セキュリティ要件定義とは？

セキュリティ要件定義とは、守るべき情報資産と想定脅威を洗い出し、機能要件・非機能要件として文書化する工程。認証方式、権限モデル、暗号化対象、ログの取得項目と保存期間、障害時の挙動などを、テストで合否判定できる粒度まで具体化する。委託開発では契約書やRFPに落とす対象にもなる。

せきゅりてぃようけんていぎ

情報処理安全確保支援士試験の頻出用語／午前II

セキュリティ要件定義の意味

守るべき情報資産と想定脅威を洗い出し、機能要件・非機能要件として文書化する工程。認証方式、権限モデル、暗号化対象、ログの取得項目と保存期間、障害時の挙動などを、テストで合否判定できる粒度まで具体化する。委託開発では契約書やRFPに落とす対象にもなる。

「ログは十分に取ること」ではなく「認証成功・失敗、権限変更、個人情報の参照操作について、日時・利用者ID・接続元IP・対象データ識別子を記録し、1年間改ざん検知可能な形で保存する」と書く。これで受入時に記録内容を機械的に確認できる。

抽象的な表現（十分・適切・必要に応じて）で書くと、受入時に「対策済み」と主張されて反証できない。また委託先に丸投げすると発注者側の責任は消えず、要件の定義漏れは発注者の責任として残る点も問われやすい。

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。