平成21年度秋期 情報処理安全確保支援士 午前Ⅱ 問15

家を建てる前に「どんな鍵をつけて、どれくらい防犯レベルを高くするか」を話し合って決める

ソフトウェア開発の共通のルール「SLCP（ソフトウェア・ライフサイクル・プロセス）」における「要件定義段階」のセキュリティについての問題だよ。要件定義とは、システムを作る最初のステップで「このシステムにどんな機能が必要か、どういう性能が必要か」を顧客と合意する場んだ。セキュリティで言えば、「どんな防犯機能を持たせるか」「どれくらいの安全度（保証水準）をクリアさせるか」をこの時点でビシッと宣言して決めるんだよ。

この問題で問われていること

プログラムの設計書レビューや、動かした後の運用監査といった後ろのフェーズではなく、「開発の最初期（要件定義）にセキュリティ要件や保証レベルを定義する」プロセスを特定しよう。

要件定義で行うこと

要件定義では、認証・認可・監査・可用性など何が必要かを定めます。ソースコードレビューや定期監査は後工程の活動です。

必要なセキュリティ機能\n+ 求める保証の程度\n-> 要件として定義

確認ポイント

• ソースコードレビューは実装後の工程です。
• 脆弱性評価ツールでの監査は運用・評価段階寄りです。
• 要件定義では何を実現するかを決めます。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

正解だよ。要件定義では「このシステムにはどんな安全機能が必要か」「どのくらい確実に守れればよいか」を決めるんだ。家づくりでいうと、建てる前に「玄関は二重ロックにする」「窓には防犯ガラスが必要」と決める感じだよ。

選択肢イ

不正解だよ。ソースコードレビューは、実際に作ったプログラムをチェックする開発中・開発後の作業だよ。家でいうと、設計図を決める段階ではなく、工事中に「この鍵、ちゃんと取り付けられているかな」と確認する作業に近いんだ。

選択肢ウ

不正解だよ。これは「どんなシステムを作るか」を大まかに考える企画段階の話だよ。家づくりでいうと「防犯カメラ付きの家にしよう」と計画する段階で、要件定義の「その鍵はどの強さが必要か」まで決める段階とは少し前の話なんだ。

選択肢エ

不正解だよ。これはシステムを使い始めた後に、定期的に点検する運用段階の話だよ。家でいうと、住み始めてから警備会社に防犯チェックを頼むようなもの。要件定義の段階でやる作業ではないよ。