A-1システムライフサイクルプロセス · システム要件定義・ソフトウェア要件定義

セキュリティ要件

Security Requirements

せきゅりてぃようけん

システムが備えるべきセキュリティ上の要件。認証、アクセス制御、暗号化、ログの取得などの機能と、脅威分析やリスク評価の結果から求められる対策の水準を定める。要件定義の段階で明確にしておくと、後工程での手戻りや脆弱性の作り込みを防げる。

共有:

他の資格での定義

システムに求められるセキュリティに関する要件。認証・認可の方式、データの暗号化、アクセス制御、ログ管理、脆弱性対策など、情報セキュリティを確保するために必要な機能や品質を定義する。

システムが備えるべきセキュリティについての要件。守るべき情報資産と想定する脅威を踏まえて、認証、アクセス制御、暗号化、ログの取得などの機能や、求める安全性の水準を定める。要件定義の段階で明確にすることで、後からの手戻りや対策の漏れを防ぐ。

Past Exams

過去問で 3 回出題（情報セキュリティマネジメント試験 1・基本情報技術者試験 1・システム監査技術者試験 1）

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

システム要件定義で定める、データベースに関する要件。扱うデータの項目・件数・増加量・保存期間、アクセスの頻度と応答時間、整合性やバックアップ・機密保護の条件などを明らかにし、データベース方式の決定や設計の前提とする。

システムを本番稼働させた後の運用で満たすべき要件。稼働時間帯、監視の方法、バックアップと復旧の手順、ジョブの運用、障害時の連絡体制、運用要員の体制などを定める。

システムの保守のための要件。保守の体制と範囲、問合せや障害への対応時間、変更の手順、保守の契約の形態、修正のしやすさなどの保守性の目標を定める。

システムの機能以外に求められる品質や制約、すなわち性能、可用性、拡張性、セキュリティ、運用性、移行性などを明らかにして定義すること。利用者の目に見えにくく合意が漏れやすいため、IPAの非機能要求グレードなどを使って項目と水準を網羅的に確認する。

システムの設計段階で、守るべき資産、データの流れ、信頼境界を整理し、想定される脅威とその対策を体系的に洗い出す手法。なりすまし、改ざん、否認、情報漏えい、サービス妨害、権限昇格の6分類で脅威を考えるSTRIDEなどを用い、セキュリティバイデザインを実践する手段となる。

製品やシステムを、利用者が追加の設定をしなくても、出荷時や導入時の初期状態のままで安全に使えるように設計しておくという考え方。初期パスワードの個別化、不要な機能やポートの無効化、多要素認証の標準での有効化などが例で、セキュリティバイデザインと合わせて推進されている。