A-1New情報セキュリティマネジメント · 情報セキュリティの考え方

セキュアバイデフォルト

Secure by Default

せきゅあばいでふぉると

製品やシステムを、利用者が追加の設定をしなくても、出荷時や導入時の初期状態のままで安全に使えるように設計しておくという考え方。初期パスワードの個別化、不要な機能やポートの無効化、多要素認証の標準での有効化などが例で、セキュリティバイデザインと合わせて推進されている。

共有:

関連キーワードの用語

システムの設計段階で、守るべき資産、データの流れ、信頼境界を整理し、想定される脅威とその対策を体系的に洗い出す手法。なりすまし、改ざん、否認、情報漏えい、サービス妨害、権限昇格の6分類で脅威を考えるSTRIDEなどを用い、セキュリティバイデザインを実践する手段となる。

自社が開発・提供する製品やサービスの脆弱性に対応するための組織。外部からの脆弱性の報告の受付、影響の調査、修正版の開発と提供、利用者への情報の公開を担う。社内の情報システムを対象とするCSIRTに対し、出荷した製品のセキュリティを対象とする。

システムが備えるべきセキュリティ上の要件。認証、アクセス制御、暗号化、ログの取得などの機能と、脅威分析やリスク評価の結果から求められる対策の水準を定める。要件定義の段階で明確にしておくと、後工程での手戻りや脆弱性の作り込みを防げる。