５　セキュリティ・バイ・デザインのリスク管理体制

５.１　セキュリティ・バイ・デザインのリスク管理に関わる関係者の役割

セキュリティ・バイ・デザイン実施にあたっては、システムライフサイクル全体を通して俯瞰的にセキュリティを確保できる能力や経験を有した専門家をシステム開発チームに指名することが求められるが、実際には人材不足等の理由により困難なケースが多い。仮に開発チームにセキュリティ専門家をアサイン可能な場合でも、セキュリティ対策の妥当性が十分に検証されずに、後工程に進めてしまうケースも散見される。よって、セキュリティ品質確保の観点から、政府情報システムにおけるセキュリティ・バイ・デザインにおいては、開発チームによる各工程でのセキュリティ対策の実施だけでなく、専門的な知見を有した評価者による客観的なリスク評価の実施を求める。

また、評価者によるリスク評価結果に基づいて確実に是正対応が行われるよう、リスク対応状況を継続的に管理するためのリスク管理の仕組み（体制、運用プロセス）を整備することも肝要となる。

本項では、セキュリティ・バイ・デザインにおけるリスク管理体制としてリスク評価、リスク管理に関わる関係者の役割（呼称）と当該役割に求められる責任を示す。

開発プロジェクトが開始する前に必要なリソースをアサインし、リスク管理体制を整備することが、セキュリティ・バイ・デザインを効果的に実施するための必須条件となる点に留意すること。

3章記載のとおり、本書のスコープをふまえ、リスク評価、リスク管理の具体的な運用プロセスは、各政府機関のセキュリティルールや環境に依存するため本書では規定しない。

表 ５‑1　セキュリティ・バイ・デザインに関わる関係者の役割と責任
項番 役割（呼称） 責任
1 システム管理者

  • システムライフサイクル全体を通して漏れのないセキュリティ対策が実施できるよう、委託先実施者との責任範囲を明確にし、セキュリティ対策全体を管理する。

  • システム開発、運用の各工程において、要求事項を満たすようにセキュリティ対策を実施するとともに、工程間のセキュリティ対策の整合性を担保する。

  • セキュリティリスクアセッサーによる、セキュリティ対策のリスク評価結果に対して、ビジネス/リスクオーナーの指示に従って、是正対応を行う。

  • セキュリティリスクアセッサーによるリスク評価の実施を補助する。
2 委託先実施者

  • システム管理者からの委託を受け、責任範囲に関連するセキュリティ対策を実施する。

  • セキュリティリスクアセッサーによるリスク評価の実施を補助する。
3

ビジネス/リスクオーナー

システムの規模や社会的影響等により、組織の長が担うこともあれば、幹部相当の役職者が担うこともある

  • セキュリティリスクの管理主体として、ビジネスリスク（機会損失、財務リスク等）を総合的に勘案し、セキュリティリスク対応方針（リスク回避、低減、保有、移転等）を決定するための考え方を整理する。

  • 上記考え方に基づいて、セキュリティリスク対応方針（リスク回避、低減、保有、移転等）を決定し、システム管理者に対してセキュリティリスクへの是正対応方針を指示する。

  • 残存リスクへの対応方針を決定し、サービス運用を認可する。

  • システム管理者によるセキュリティリスクへの是正対応状況を管理、監督する。
4

セキュリティリスクアセッサー（評価者）

開発者とは役割の異なるセキュリティ専門知識を有した者が相当する

  • セキュリティ・バイ・デザインの任意の工程または全工程において、業務観点及びシステム観点でのセキュリティリスク評価（文書レビュー、脆弱性診断等）を実施する。

  • セキュリティリスク評価結果や是正対応に関連する推奨策をシステム管理者に提言する。

  • システムのセキュリティリスク対応状況をモニタリングし、セキュリティ上の問題がある場合、システム管理者やビジネス/リスクオーナーに対して勧告、提言をおこなう。