問題の背景:
近年、情報システムへの攻撃が増加しており、データ保護の要件が法律によって厳しくなっています。企業は、製品ライフサイクルのすべての段階でセキュリティに関する問題の包括的かつ継続的な取り組みを求めています。
問題:
セキュリティに関する非機能要件は、曖昧に表現されたり、プロジェクトの特異性に合わせて適応されずに標準からコピーされたりすることがよくあります。これにより、高いリスクや、ITチームにとって実現不可能なタスクが発生します。
解決策:
アナリストは以下を行う必要があります：
主な特徴：
要件の形成において、セキュリティチェックリストに完全に依存してもよいか？
チェックリストはスタート地点として有用ですが、すべてのビジネスの特性をカバーするわけではありません。セキュリティ要件は、各プロジェクトごとに個別で議論されるべきです。
システムのすべての部分にセキュリティ監査は必須ですか？
一部のモジュールは、機密データを処理しないか、内部用です。しかし、リスク分析は全体のソリューションに対して必須です。最小限のアクセス権の原則が適用されます。
セキュリティ要件を100％実現しようとするべきか？
一般的に、データの分類と脅威のレベルに応じて最も重要な対策が実施されます。「絶対的なセキュリティ」は神話であり、妥協は避けられません。リスクを管理することが重要です。
ネガティブケース: 情報セキュリティの要件が「ISO基準への適合」というポイントに集約され、データ伝送チャネルの暗号化設定が忘れられました。結果：インシデント、罰金。 利点：文書が迅速に作成されました。 欠点：実際の脆弱性と監査時の問題。
ポジティブケース: アナリストは情報セキュリティ専門家を招き、脅威分析セッションを実施し、要件を受け入れ基準として文書化しました。すべての対策は合意され、実施可能です。 利点：保護が実施され、監査に成功しました。 欠点：合意に時間と労力が必要でした。