システムの取得、開発、保全に関するセキュリティ① 開発にあたっての要求条件

実際の情報システムは、日々利用ユーザーの変更や、必要に応じた新しい機能の追加などというダイナミックな面もあります。

このために、セキュリティ対策についても新しい機能の追加に対応したシステムの取得、開発、保全に関する管理策が必要になってきます。

ISMSではISO/IEC27001の「A.14システムの取得、開発及び保守」の項目で必要な管理策が示されています。

情報システムは継続的に機能追加、性能向上といった変更が行なわれます。

この変更に対応したシステムの取得、開発及び保守が必要になってきますが、同時にそれらに対応した情報セキュリティの確保も重要になってきます。

これらの管理策は、開発にあたっての要求条件、開発にあたって考盧すべき事項、開発で必要となる開発環境（外部委託･試験）に対する情報セキュリティの3種類の管理策で構成されています。

開発にあたっての要求条件

情報セキュリティ要求事項の分析及び仕様化

公衆ネットワーク上のアプリケーションサービスのセキュリティの考慮

アプリケーションサービスのトランザクションの保護

開発にあたっての要求条件として、開発したシステムのライフサイクル全体にわたっての要求条件を分析し仕様化することが必要です。

ライフサイクル全体とは、システムの開発時、導入時、運用時、廃棄するまでにわたる一連のプロセス全体にわたってシステムの情報セキュリティに対する要求事項を洗い出し、それを仕様化することを意味しています。

これには公衆ネットワークが利用される場合のセキュリティ要求条件が含まれます。

主に電子商取引などの換金性の高い情報の流通を意識したものです。

他にも、個人情報や営業秘密の情報を公衆ネットワークを通じて流通する場合のセキュリティ要求条件を含めることも意味しています。

これらの情報が公衆ネットワーク上で漏えい、窃取されないように保護するための責任の明確化、通信の秘密の順守、通信経路上の暗号化といった必要な対策をとる必要があります。

トランザクションの保護は、主にインターネットを通じた通信におけるエンドエンドでの対策となります。

インターネット上では、さまざまな攻撃が想定されますが、これらを防ぐためエンドエンドのトランザクションレベルでの必要な対策が要求されます。

具体的には、ルーチング情報の信頼性確保、エンドエンドでの情報の認証、暗号化などの対策です。

以上の要求条件を、システム開発時に明確化し仕様化することが要求されます。