セキュリティアーキテクチャ・設計 重要度:★★★出題: AM2・PM1
セキュリティ・バイ・デザイン / DevSecOps
せきゅりてぃばいでざいん / でぶせくおぷす / Security by Design / DevSecOps
企画・要件定義・設計の初期段階からセキュリティ対策を組み込み、CI/CDパイプライン全体で継続的に脆弱性検査を自動化する開発手法。
3行速習ポイント
- リリース直前の脆弱性診断による手戻り（大規模改修や納期遅延）を防止するシフトレフト（Shift Left）アプローチ
- SAST（静的解析）、SCA（OSS構成解析）、DAST（動的解析）をCI/CDパイプラインに統合
- 脅威モデリング（STRIDE等）を設計段階で実施し、アーキテクチャ上のセキュリティ欠陥を事前排除
図解
図Security by Design と DevSecOps パイプライン統合
1企画・要件定義・設計
シフトレフト脅威モデリングとセキュリティ要件定義
STRIDE等を用いて設計段階でアーキテクチャ上の脅威と信頼境界を洗い出し、認可制御や暗号化方式を事前組み込み
2コーディング・ビルド (SAST / SCA)
CI 自動検査静的コード解析とOSS脆弱性・SBOM検査
コミット時にSASTで実装上の脆弱性を検出し、SCAで依存OSSライブラリの既知脆弱性（CVE）を自動チェック
3ステージング検証 (DAST)
CD 動的検証稼働環境への擬似攻撃による動的診断
デプロイされた検証環境に対してDASTツールで擬似攻撃リクエストを送信し、実行時の認証・通信・設定不備を検証
4本番リリース・継続監視
継続的保護CSPM・WAF・SBOMによる運用保護
リリース後もクラウド設定監査（CSPM）とSBOM突合を継続し、新規脆弱性公表時に影響システムを即時特定
💡 リリース直前の脆弱性発覚による大規模手戻りを防ぐため、開発の上流工程からセキュリティを組み込む「シフトレフト」を実践
概要と本質
開発終盤のテスト工程で初めて脆弱性が発覚すると、設計変更に伴う膨大な修正コストが発生します。企画・設計工程からセキュリティ要件を定義（Security by Design）し、ビルド・デプロイのたびに自動セキュリティテストを回すDevSecOpsが現代の標準開発スタイルです。
重要ポイント・コア概念
- SAST（Static Application Security Testing）：ソースコードをビルド前に静的解析し、コーディング上の脆弱性を検出
- DAST（Dynamic Application Security Testing）：稼働中のステージング環境に疑似攻撃リクエストを送り、挙動から脆弱性を検出
- SCA（Software Composition Analysis）：依存OSSライブラリの既知の脆弱性（CVE）とライセンス違反を自動検出
午後記述・情報セキュリティ対策での攻略ポイント
令和7年春期午後問1など、近年のセキュア開発事例で最重要テーマ。「企画・設計段階からセキュリティを組み込むことで手戻りを減らす」「SAST/DAST/SCAの特徴と検出対象の違い」が頻出です。
午後記述で使える加点キーワード（クリックでコピー）
関連する重要用語
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着情報処理安全確保支援士 過去問演習で実践力を鍛える
