セキュリティバイデザインの説明はどれか。

選択肢

• ア開発済みのシステムに対して，第三者の情報セキュリティ専門家が，脆弱性診断を行い，システムの品質及びセキュリティを高めることである。
• イ開発済みのシステムに対して，リスクアセスメントを行い，リスクアセスメント結果に基づいてシステムを改修することである。
• ウシステムの運用において，第三者による監査結果を基にシステムを改修することである。
• エシステムの企画・設計段階からセキュリティを確保する方策のことである。

正解と解説

正解：エ システムの企画・設計段階からセキュリティを確保する方策のことである。

セキュリティバイデザインは、企画・設計という上流の段階からセキュリティを組み込む考え方である。後工程で発見された欠陥を直すより手戻りが小さく、根本的な対策を設計に織り込めるため、コストと安全性の両面で有利になる。開発後の診断や監査結果に基づく改修は、事後的な対応であり該当しない。

選択肢ごとの解説

• ア誤り。開発済みシステムへの脆弱性診断は事後的な確認活動。
• イ誤り。開発後のリスクアセスメントに基づく改修も事後対応。
• ウ誤り。運用段階での監査結果に基づく改修であり、上流での作り込みではない。
• エ正解。企画・設計段階からセキュリティを確保する考え方。

同じ分野の他の問題

• ゼロトラストの説明として、最も適切なものはどれか。2025年度 公開問題 科目A・B 問3
• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）において，“エンティティは，それが主張する…2018年度 春期 午前 問8
• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）において定義されている情報セキュリティの特…2017年度 秋期 午前 問11
• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における真正性及び信頼性に対する定義a〜d…2017年度 春期 午前 問24
• 情報の“完全性”を脅かす攻撃はどれか。2016年度 秋期 午前 問21