基本情報技術者試験 - 令和5年7月修了 - 問33

答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ
解説 ：
「セキュリティバイデザイン」とは，システムを開発する際に，後からセキュリティ対策を追加するのではなく，企画や設計の段階から，あらかじめセキュリティを確保するための方策を組み込んでおくという考え方です。

開発の早い段階からセキュリティを意識することで，後になってから重大な脆弱性が見つかり，大幅な手戻りが発生するといった事態を防ぎやすくなります。従って，正解は「エ」です。

「ア」は，開発済みのシステムに対して第三者の情報セキュリティ専門家が脆弱性診断を行い，品質やセキュリティを高めることについての説明ですが，これは開発が完了した後の段階で行われる取り組みであり，企画・設計段階からセキュリティを組み込むというセキュリティバイデザインの考え方とは，対象とする時期が異なります。

「イ」は，開発済みのシステムに対してリスクアセスメントを行い，その結果に基づいてシステムを改修することについての説明で，これも開発後の段階での対応であり，上流工程からの取り組みとは異なります。

「ウ」は，システムの運用において，第三者による監査結果を基にシステムを改修することについての説明で，これも運用段階，つまり開発のかなり後の段階で行われる取り組みであり，企画・設計段階を対象とするセキュリティバイデザインとは時期が異なります。