中小企業が業務システムを開発するとき、
「セキュリティは必要だと思うが、具体的に何を決めればよいのか分からない」
というケースは少なくありません。
例えば開発会社との打ち合わせで、
「セキュリティもしっかりお願いします」
と伝えるだけでは、必要な対策を具体的な要件へ落とし込めません。
一方で、大企業向けのセキュリティ基準をそのまま適用すると、開発費や運用負担が必要以上に大きくなる可能性もあります。
中小企業のセキュリティ要件定義で重要なのは、
扱う情報、利用者、想定されるリスクに応じて「最低限守るべきこと」を具体化することです。
業務システムであれば、少なくとも次のような項目を検討します。
- 認証
- 多要素認証
- 権限管理
- アカウント管理
- 通信の暗号化
- データの保護
- 操作ログ
- バックアップ
- 脆弱性・アップデート対応
- 外部サービス連携
- 障害・インシデント対応
- 運用担当者と責任範囲
この記事では、システム開発に詳しくない中小企業の担当者でも整理できるように、セキュリティ要件定義で最低限押さえておきたい項目を具体例とともに解説します。
セキュリティ要件定義とは
セキュリティ要件定義とは、
システムやデータをどのような脅威から、どの程度守る必要があるのかを具体的な要件として整理すること
です。
例えば、
「不正アクセスを防ぎたい」
だけでは具体的なシステム要件になりません。
これを、
- メールアドレスとパスワードでログインする
- 管理者は多要素認証を必須にする
- 一定回数ログインに失敗した場合は試行を制限する
- 退職者のアカウントを停止できる
- 管理者以外はユーザー情報を編集できない
といった形に落とし込んでいきます。
つまりセキュリティ要件定義では、
“`text
守りたいこと
↓
想定されるリスク
↓
必要な対策
↓
具体的なシステム要件