セキュリティ
セキュリティバイデザイン(Security by Design)の考え方として最も正しいものはどれか。
ア.セキュリティ要件をシステム設計の最初の段階から組み込み、開発ライフサイクル全体でセキュリティを考慮する開発アプローチ正解
イ.セキュリティ専門家のみが担当し、一般開発者はセキュリティを考慮しなくてよいという役割分担手法
ウ.リリース後にセキュリティテストを集中的に実施し、問題を発見したら修正するリアクティブなアプローチ
エ.ハードウェアセキュリティモジュール(HSM)を全システムに必ず組み込むというハードウェア要件
解説
セキュリティバイデザインは「家を建てるとき最初から耐震設計する」考え方。後から壁を補強するより、設計図の段階から耐震を考える方が安く確実。同様に「リリース後にセキュリティを後付け」より「設計段階から要件に組み込む」方がコストも品質も圧倒的に優れる。発見コストは設計段階の方が100分の1！
なぜ ア が正解か
セキュリティバイデザインの原則：①Left Shift：セキュリティ考慮を開発プロセスの「左（早い段階）」に移動②設計段階での脅威モデリング（STRIDE等）③セキュアコーディング規準の開発者への教育④開発段階でのSAST（静的解析）・テスト段階でのDAST（動的解析）組み込み⑤経済的合理性：設計段階での修正コストは運用後の1/100とも言われる⑥対比：「セキュリティの後付け」は多くの既存システムで発生した問題の根本原因。DevSecOpsと密接に関連。
出典: AI生成問題（学習用）