令和3年度春期 情報処理安全確保支援士 午前Ⅱ 問25

午前II 問25：セキュリティは後付けじゃなく、開発の最初から組み込もう

JIS Q 27001 附属書Aの考え方では、セキュリティはソフトウェア開発の流れの中に最初から組み込むものだよ。家を建てた後に『やっぱり鍵を付けよう』と考えるより、設計の段階から玄関や窓の防犯を考える方が自然だよね。だから、開発が全部終わってからセキュリティ機能の試験だけをする運用では不十分なんだ。

この問題で問われていること

この問題では、ソフトウェア開発プロセスの中にセキュリティ対策を組み込むべきだと理解できているかが問われているよ。開発後にまとめて確認するのではなく、設計・実装・テストなど各段階でセキュリティを意識しよう、という考え方を押さえよう。

セキュア開発の監査観点

最後にまとめて試験するのでは遅く、設計・実装・試験の各段階にセキュリティを組み込む必要がある。

開発終了後にまとめて試験\n-> 不適切\n早期から組込みが必要

確認ポイント

• セキュリティ配慮した開発環境の利用自体は適切です。
• 外部委託先監督や必要最小限のパッケージ変更も適切な方向です。
• セキュリティ機能試験を開発終了後に実施している点を指摘する。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは不正解だよ。セキュリティ機能の試験を開発が全部終わってからだけ行うのは、家を建て終わってから初めて鍵や窓の強さを確認するようなものだよ。問題が見つかったときに直すのが大変になるから、設計・実装・テストの各段階で早めに確認していくのが大事なんだ。

選択肢イ

これは正しい考え方だけど、この問題で選ぶべき不正解の選択肢ではないよ。開発環境を安全にするのは、料理をする台所を清潔に保つようなものだよ。開発用PCやサーバに勝手に入られたり、ソースコードを盗まれたりしないようにするのは、セキュリティ上とても重要なんだ。

選択肢ウ

これも正しい考え方だけど、この問題で選ぶべき不正解ではないよ。外部委託先に開発を任せるなら、合鍵を預ける相手をきちんと見守るようなものだよ。委託先が安全な手順で作業しているか、情報を雑に扱っていないかを監督・確認する必要があるんだ。

選択肢エ

これも正しい考え方だけど、この問題で選ぶべき不正解ではないよ。パッケージソフトをむやみに改造するのは、既製品の金庫に勝手に穴を開けるようなものだよ。必要最小限の変更に絞れば、想定外の弱点や保守しにくさを増やしにくくできるんだ。