セキュリティバイデザイン（セキュアバイデザイン）

セキュリティバイデザインは、システムの企画・要求・設計段階からセキュリティを品質要件として組み込み、開発、運用、廃棄までライフサイクル全体でリスクを継続管理する考え方です。

■ 試験で押さえるポイント

• 保護対象、脅威、攻撃経路、法令、許容リスクを早期に分析し、認証・認可、暗号、ログ、可用性、更新、廃棄を要求とアーキテクチャへ反映します。

• 最小権限、セキュアな初期設定、攻撃対象領域の縮小、入力検証、職務分離、多層防御、障害時の安全な失敗を設計原則として使います。

• コードレビュー、静的・動的解析、依存部品・SBOM、侵入試験、構成検査をCI/CDへ組み込み、脆弱性と脅威変化へ修正・更新します。

• 完成後に対策製品を追加するだけでなく、要件と構造から欠陥を予防します。セキュアバイデフォルトは初期状態で安全な設定を選ぶ関連概念です。

■ 過去問での着眼点

開発初期からライフサイクル全体へセキュリティを組み込む点が決め手です。リリース直前の脆弱性診断だけではありません。

例: 企画時に個人データと脅威を特定し、設計で最小権限と暗号化、実装で自動解析、運用で監視・更新、廃棄で鍵と媒体の消去まで計画します。