セキュリティバイデザインとは？設計段階から安全性を確保する考え方

サイバー攻撃の被害が深刻化する中、「セキュリティは後から対策すればいい」という考え方では、もはや企業を守れなくなっています。本記事

では、システムの企画・設計段階からセキュリティを組み込む「セキュリティバイデザイン」の考え方と実践方法を解説します。IPA（情報処理推進機構）の調査によると、運用時のセキュリティ対策コストは設計時の100倍に達するとされており、早期段階での対策がいかに重要かがわかります。中小企業が今すぐ取り組める具体的なアクションもご紹介しますので、ぜひ参考にしてください。

なぜ今、セキュリティバイデザインが求められるのか

サイバー攻撃による被害は年々深刻化しています。トレンドマイクロ社の「セキュリティ成熟度と被害の実態調査 2024」によると、過去3年間で国内企業の70.9%がサイバー攻撃を経験しており、3年間の累計被害額は平均1.7億円、ランサムウェア被害に遭った企業では平均2.2億円に達しています。さらに、サイバー攻撃による業務停止期間は平均6.1日、ランサムウェア攻撃の場合は平均10.2日に及んでいます。

特に深刻なのは、中小企業への被害拡大です。警察庁の「令和6年におけるサイバー空間をめぐる脅威の情勢等について」によると、2024年のランサムウェア被害のうち約63%が中小企業であり、2023年の52%から大幅に増加しています。IPAの「2024年度中小企業等実態調査結果」では、サイバーインシデントの被害を受けた中小企業の約7割が取引先にも影響が出たと回答しており、サプライチェーン全体への波及リスクが浮き彫りになっています。

こうした状況を受けて、システム開発の初期段階からセキュリティを組み込む「セキュリティバイデザイン」の重要性が高まっています。後から対策を追加するのではなく、企画・設計の段階でセキュリティを考慮することで、より確実かつ効率的に安全性を確保できるのです。

セキュリティバイデザインの基本概念

セキュリティバイデザインとは、内閣サイバーセキュリティセンター（NISC）によって「情報セキュリティを企画・設計段階から確保するための方策」と定義されています。デジタル庁の「政府情報システムにおけるセキュリティ・バイ・デザインガイドライン」では、「情報システムの企画工程から設計工程、開発工程、運用工程まで含めた全てのシステムライフサイクルにおいて、一貫したセキュリティを確保する方策」と、より詳細に説明されています。

従来のシステム開発では、機能の実装を優先し、セキュリティ対策は完成後に追加するという流れが一般的でした。しかしこのアプローチでは、設計上の根本的な問題を後から修正することが難しく、対策コストが膨れ上がる傾向にあります。セキュリティバイデザインは、この課題を解決するために、開発プロセスの最初からセキュリティを重要な要件として位置づけます。

デジタル庁のガイドラインでは、セキュリティバイデザインの基本方針として6つの要素が示されています。事後的でなく予防的な対策を組み込むこと、すべての開発ライフサイクルを保護すること、初期設定値で安全を担保すること、システム特性に応じて過不足ないセキュリティ対策を実施すること、セキュリティリスクの評価と管理を実施すること、そして利便性を損なわずにセキュリティを確保することです。これらの方針に沿って開発を進めることで、安全性と使いやすさを両立したシステムを構築できます。

セキュリティバイデザインがもたらす3つのメリット

セキュリティバイデザインを導入することで、企業は大きく3つのメリットを得られます。

第一のメリットは、トータルコストの大幅な削減です。IPAが発行する「セキュリティ・バイ・デザイン導入指南書」では、セキュリティ対策コストについて衝撃的な試算が示されています。設計時のセキュリティ対策コストを1とした場合、開発段階では6.5倍、テスト段階では15倍、そして運用段階では100倍に達するとされています。つまり、運用開始後にセキュリティ問題が発覚した場合、設計段階で対処していれば1の労力で済んだものが、100倍もの手間とコストがかかってしまうのです。早い段階で脆弱性を発見・修正することで、手戻りを防ぎ、プロジェクト全体のコストを抑制できます。

第二のメリットは、システム全体のセキュリティ品質向上です。セキュリティバイデザインでは、開発プロセス全体を通じてセキュリティ管理が行われるため、製品のライフサイクル全体にわたって一貫したセキュリティレベルを維持できます。デジタル庁のガイドラインでも、標準化されたセキュリティ対策を実施し、対策の妥当性を検証する仕組みを導入することで、システムによるセキュリティ品質のばらつきを解消し、組織全体のセキュリティ品質の底上げが可能になると説明されています。

第三のメリットは、保守性と運用効率の向上です。設計段階からセキュリティ要件を明確にして組み込むことで、保守・運用段階でのメンテナンスがスムーズになります。セキュリティ対策が設計に織り込まれているため、後付けの対策による複雑化を避けられ、長期的な運用コストの削減にもつながります。また、開発の初期段階からセキュリティを意識することで、開発チーム全体のセキュリティ意識が高まり、組織文化としてセキュリティを重視する風土が醸成されます。

セキュリティバイデザインの実践ステップ

セキュリティバイデザインを実践するには、システム開発の各工程でセキュリティを考慮した活動を行う必要があります。

企画工程では、まずセキュリティ方針の策定から始めます。システムが取り扱う情報の重要度を評価し、想定される脅威や攻撃者を特定します。この段階で、システムに求められるセキュリティレベルを明確にしておくことが重要です。また、セキュリティ対策に必要な予算や人員を確保するための計画も立てておきます。

要件定義工程では、機能要件と同様にセキュリティ要件を明文化します。認証・認可の方式、データの暗号化範囲、ログ取得の粒度など、具体的なセキュリティ要件を定めます。IPAの「安全なウェブサイトの作り方」やOWASPの「Threat Modeling」などの参考資料を活用しながら、脅威分析を行い、対策すべきリスクを洗い出します。

設計工程では、要件定義で決めたセキュリティ要件を実現するためのアーキテクチャを設計します。最小権限の原則（ユーザーやプロセスに与える権限を必要最小限に留める）、多層防御の原則（単一の対策ではなく複数のセキュリティ対策を組み合わせる）といった基本原則に沿って設計を進めます。また、デバイス間の認証メカニズムや暗号通信の基準なども、この段階で確立しておきます。

実装・テスト工程では、セキュアコーディングの原則に従ってプログラムを作成し、脆弱性診断やペネトレーションテストを実施します。発見された脆弱性は速やかに修正し、設計段階で想定したセキュリティレベルが実現できているかを検証します。

中小企業が今すぐ取り組むべき5つのアクション

セキュリティバイデザインの考え方は、大規模なシステム開発だけでなく、中小企業の日常的なIT活用にも適用できます。すぐに実践できるアクションを5つご紹介します。

まず、新規システム導入時のセキュリティ要件チェックリストを作成することです。システムやサービスを新たに導入する際に、認証機能の有無、データの暗号化対応、アクセスログの取得機能など、確認すべき項目をリスト化しておきます。これにより、セキュリティを考慮しないままシステムを導入してしまうリスクを防げます。

次に、取引先とのセキュリティ要件の明確化を行います。システム開発を外部に委託する場合、発注段階でセキュリティ要件を明示し、契約に盛り込むことが重要です。開発後にセキュリティ対策を追加するよりも、最初から要件として伝えておく方が、コストも品質も優れた結果につながります。

3つ目のアクションは、既存システムのセキュリティ現状把握です。現在使用しているシステムやサービスについて、セキュリティ対策の状況を棚卸しします。初期設定のままになっているパスワードや、不要なアカウント、更新されていないソフトウェアなど、改善すべき点を洗い出し、優先度をつけて対策を進めます。

4つ目は、従業員へのセキュリティ教育の実施です。技術的な対策だけでなく、人的な対策も重要です。フィッシング詐欺の見分け方や、パスワード管理の基本、不審な添付ファイルへの対応など、従業員一人ひとりがセキュリティを意識できるような教育を定期的に行います。

5つ目は、インシデント対応計画の策定です。警察庁の調査によると、ランサムウェア被害を受けた組織の約83.6%が、サイバー攻撃を想定した事業継続計画（BCP）を策定していませんでした。万が一の事態に備えて、被害発生時の連絡体制、初動対応の手順、復旧手順などを事前に定めておくことが重要です。

GXOが提供するセキュア設計支援

セキュリティバイデザインの導入には、セキュリティに関する専門知識が必要です。しかし、多くの中小企業では、セキュリティ人材の確保が難しいのが現実です。KPMGコンサルティングの調査では、約76%の企業が「セキュリティ人材が不足している」と回答しています。

GXOでは、180社以上の支援実績をもとに、企画・設計段階からセキュリティを組み込んだシステム開発を支援しています。DX・システム開発サービスでは、お客様のビジネス要件を踏まえたセキュリティ要件の定義から、セキュアな設計・実装、脆弱性診断まで、一気通貫でサポートします。セキュリティ事業としては、SIEM/SOARの導入支援やSOC（セキュリティオペレーションセンター）サービス、インシデント対応支援など、運用段階のセキュリティ強化も支援しています。

「セキュリティ対策に何から手をつければいいかわからない」「システム開発を予定しているが、セキュリティ面が不安」といったお悩みをお持ちでしたら、まずはお気軽にご相談ください。

まとめ

セキュリティバイデザインとは、システムの企画・設計段階からセキュリティを組み込む考え方です。IPAの試算によると、運用時のセキュリティ対策コストは設計時の100倍に達するとされており、早期段階での対策がいかに重要かがわかります。セキュリティバイデザインを導入することで、トータルコストの削減、セキュリティ品質の向上、保守性の向上といったメリットが得られます。

中小企業においても、新規システム導入時のセキュリティ要件チェック、取引先とのセキュリティ要件の明確化、既存システムの現状把握、従業員教育、インシデント対応計画の策定など、今すぐ取り組めるアクションがあります。サイバー攻撃の脅威が増大する中、「後から対策する」のではなく「最初から対策を組み込む」という発想の転換が求められています。

セキュリティバイデザインの導入や、セキュリティを考慮したシステム開発についてお困りの方は、GXOにお気軽にご相談ください。

お問い合わせはこちら