JNSA セキュアシステム開発ガイドライン「Web システム

セキュリティ要求仕様（RFP）」編

β版

2005 年 12 月 5 日
セキュアシステム開発ガイドライン WGJNSA セキュアシステム開発ガイドライン

もくじ
もくじ................................................................................................................................... 1
1.

はじめに ........................................................................................................................ 22.

このドキュメントの目的 ............................................................................................... 43.

このドキュメントの対象読者 ........................................................................................ 5

4.

このドキュメントに含まれていること、含まれていないこと ...................................... 55.

Web システム・セキュリティ要求仕様（RFP） .......................................................... 66.

セキュリティ対策への主要な影響要因.......................................................................... 7

パターン１：対策手法からの RFP 記載例 ........................................................................... 8
パターン２：現象面からの RFP 記載例 ............................................................................. 10
パターン３：脅威モデルからの RFP 記載例...................................................................... 12-1Copyright (c) 2005

NPO 日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

JNSA セキュアシステム開発ガイドライン

1. はじめにWeb アプリケーションに対する企業と社会の需要と依存度はますます高まっているが、一方で Web アプリケーションの脆弱性をついた不正アクセスが後をたたない。
JNSA をはじめとするセキュリティ団体やソフトウェアメーカーの啓発により、ネットワークやホストレベルのセキュリティについては、ある程度、「ここまでは必須の対策」というレベルについての社会的なコンセンサスは醸成されてきている。たとえばデスクトップ
PC であれば、アンチウイルスソフトのインストールと定義ファイルの更新、Windows
Update を初めとした OS とソフトウェアを最新のバージョンに保つこと、見知らぬ人から届いたメールは不用意に開かない、等のユーザーレベルの対策は、いまや「常識」と言っても問題は無いであろう。ネットワークレベルの対策としては、FireWall の導入、無線 LAN
アクセスポイントのセキュア化、等についても、発注者側も、機器を納入するベンダー側も当たり前の作業として実施しているはずである。むしろこれらの対策を施していなかったのであれば、ウイルスに感染したり、ネットワークに不正侵入されたとしても、その責任が発注者側にあるのか（コストをけちった？）、受注者側にあるのか（設定をミスした）はある程度明確であり、対策そのものが明示的に要求仕様に含まれていなかったとしても、社会的に必須の対策か、どうかという事が争点になることはまずないはずだ。
ところが昨今、増加の傾向にある Web アプリケーションの脆弱性を突いた攻撃は、その対策の必要性についての社会的コンセンサスが業界内でも構築されていないのが現状ではないだろうか。ここでいう Web アプリケーションに対する攻撃とその対策は、例えば SQLインジェクションやクロスサイトスクリプティング、およびセッション管理に関する問題や、アプリケーション固有の機能に関する問題を指している。これらは Web アプリケーシ
ョンによって実現したい機能からみれば「非機能要件」ととらえられ、要求仕様として明示的にされていない現状にある。そのため、ベンダー側としても明示的に対策に関する提案と、そのコストを明示することが困難な状況にある。ユーザーにしてみれば社会的に必要十分な対策をとる意思があっても、その基準が無いためにベンダーの提案を検証することができない、という状況も作り出している。
こういった状況に鑑み、JNSA では発注者側（ユーザー）側と受注者（ソフトウェアベンダー）とが共有できる Web アプリケーションのセキュリティ要求仕様について整理・提示することを試みることにした。
本ドキュメントは、発注者（ユーザー）に対しては、RFP（提案依頼書）に盛り込むセキュリティ対策のサンプルとして参照していただけることを目指している。本ドキュメン-2Copyright (c) 2005

NPO 日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

JNSA セキュアシステム開発ガイドライン
トの作成にあたっては、JNSA の会員企業を中心とした、システム開発とネットワークセキュリティに携わる企業の方々によりレビューされているので、このドキュメントに記載されている内容を Web アプリケーションに実装することで、現時点で必要十分と言える対策を施していると考えていただいてよいだろう。受注者（ソフトウェアベンダー）にとっては、Web アプリケーションのセキュリティに関する要件を要件定義・基本設計の段階から盛り込んでいただくことにより、セキュリティに関する要件を「機能要件」として算出していただくことの裏付けの資料となるはずだ。また、本資料では要求仕様に対する「対策」については、それを記述することが目的ではないので、サンプルを記述するにとどめた。
「対策」の提案については各ソフトウェアベンダーの特色を出していただき、大いに競争していただければよいと考えている。
本書の活用により、発注者（ユーザー）と受注者（ソフトウェアベンダー）間での Webアプリケーションに対するセキュリティ対策についての「常識」が醸成される事を願ってやまない。

メンバー一覧
エー・アンド・アイ システム株式会社

洞昌伸

NEC ネクサソリューションズ株式会社

小峰 光

NEC ネクサソリューションズ株式会社

中西克彦

京セラコミュニケーションシステム株式会社
株式会社 シーエーシー

岩崎 貴行

新日鉄ソリューションズ株式会社
大日本印刷株式会社

小野

TIS 株式会社

英二

塩田

徳丸 浩

株式会社ディアイティ

田京義英

潤

山田英史

日本アイ・ビー・エム株式会社
日本オラクル株式会社

平山敏弘

北野晴人

株式会社日本システムディベロップメント
日本電信電話株式会社

廣瀬日本ユニシス株式会社

森日本ユニシス株式会社

高橋 謙司

大鐘博子

洋一駿

マイクロソフト株式会社

松岡正人

みずほ情報総研 株式会社

中山 和郎

株式会社ラック

倉持 浩明

株式会社ラック

大野祐一

株式会社ラック

丸山司郎（WG リーダー）-3Copyright (c) 2005

NPO 日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

JNSA セキュアシステム開発ガイドライン

2. このドキュメントの目的
このドキュメントは、発注者（ユーザー）がベンダーに Web アプリケーションの提案依頼をかける際に、RFP（提案依頼書）に最低限、盛り込むべきセキュリティ対策について記述している。
従って、発注者（ユーザー）はこのドキュメントに記述されている要求仕様を自社の RFPに記載することができる。もちろん、このドキュメントに記載したのはベースラインとなる要求仕様なので、ここに書かれている内容を網羅したシステムを開発すれば、セキュリティ対策は万全、という訳では無いことに注意していただたい。
受注者（ソフトウェアベンダー）は、アプリケーションの提案の際に、このドキュメン
トに記載されている内容に対する対策を、具体的な対策案として提案に盛り込むことができる。本書に書かれているような内容について、ユーザーから明示的に提示が無かった場
合は、実施するセキュリティ対策について、要件定義から基本設計の段階でユーザーと合意し、要求仕様として整理する際のガイドラインとして利用することができる。それは非機能要件を機能要件化することであり、詳細設計・開発・テスト工程の見積もりにも流用できるはずだ。また、なんらかの理由で対策を施さなかったものについては、対策を実施しないことによりアプリケーションに残存する脅威についてユーザーと合意しておくことで、免責事項とすることができるはずだ。

-4Copyright (c) 2005

NPO 日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

JNSA セキュアシステム開発ガイドライン

3. このドキュメントの対象読者
１）発注者（ユーザー）のうち、RFP を記載する・ベンダーの提案を評価する立場にある方
２）受注者（ソフトウェアベンダー）のうち、提案書を記載する立場にある方、マネージャの方、営業の方

4. このドキュメントに含まれていること、含まれていないこと
このドキュメントでは Web アプリケーションに関するセキュリティ対策のうち、アプリケーションの設計とプログラミングで回避可能な既知の脆弱性について、Web アプリケーションの要求仕様として一般的に盛り込むべきと考えられる内容について記載している。
要求仕様に対する対策については、サンプルを提示しているが、これは要求仕様が意味する内容について理解していただく為に記載している。要求仕様に対する対策については、それぞれのベンダーが特色を出した提案を記載することを期待している。
反対に、ネットワークやホストレベルで対策すべきセキュリティ対策については記載していない。また、運用や人的セキュリティ対策についても対象外としている。また、RFPとしては、契約面に関する事項や、プロジェクトの運営、開発プロセスに関しても記述があるべきだが、それらについては盛り込まれていない。

-5Copyright (c) 2005

NPO 日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

JNSA セキュアシステム開発ガイドライン

5. Web システム・セキュリティ要求仕様（RFP）
１）前提条件この Web システム要求仕様は、イントラネットまたは、インターネットに公開し、利用される Web アプリケーションシステムを想定している。
システムの構成としては、一般的な三層構造（We サーバ/アプリケーションサーバ/DB サーバ）によって構成されるものを想定しているが、特定の言語／製品に限定はしていない。
２）Ｗｅｂシステムの類型化システムを新たに作成するにあたって、「何を目的として、どのような機能のシステムを、いくらくらいの予算で作成するか。」を、ユーザの視点から作成し、開発業者に提案依頼を行うものを、ＲＦＰと考える。
この中の「機能」、「予算」という部分によって、個々のシステムに必ず盛り込まれなければならないセキュリティ要件は明らかに異なるが、ここでは、セキュリテ
ィ要件に影響を与える要因を抜き出し、システム構成を類型化したうえで、対応レベルを記載することとする。

-6Copyright (c) 2005

NPO 日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

JNSA セキュアシステム開発ガイドライン

6. セキュリティ対策への主要な影響要因○

インターネットなど、外部ネットワークへの公開の有無○

機密情報取り扱いの有無
個人情報（プライバシー情報）、決済情報、などを取り扱うか否か。

○

システムの利用者の類型化¾：特に認証を必要としない。もしくは、認証は必要とする「不特定多数」が、その ID を発行する際の個人の特定は行われない。
例）

認証を必要としない、インターネット上のポータルサイト、掲示板など。

ID は発行するが、個人の特定をせず、またメールでの存在確認を行うとしても、Free メールを許すなど、事実上その ID から個人の特定が困難な場合。



認証がなされないイントラネットシステム
・認証者のみ：利用者すべての顔が把握できる人数（数十人）
・管理範囲内：アクセスを許可された範囲のシステム利用者のみ¾：個人を特定する情報を元に発行された ID などで認証を行「特定多数」う場合。
例）インターネットショッピングサイト、オンラインバンキング、社内ワークフローなどの業務システムなど。

¾：前述の「認証者」であり、かつ人的にも管理可能な範囲内。
「特定限定」
例）

システム以外の人的な手段（目で見える範囲であるなど）において、そのユーザの行動を把握できる範囲。比較的少数のユーザを想定○

対応要件の定義類型化したシステムによって、対応すべきレベルを 3 レベルで定義する。
¾

必須

¾

推奨

¾

任意

-7Copyright (c) 2005

NPO 日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

JNSA セキュアシステム開発ガイドライン

パターン１：対策手法からの RFP 記載例
１．入力検証および不正データ入力時の無効化
ユーザが悪意のある文字列を組み込んでアプリケーションを攻撃し、本来権限のないユーザがデータにアクセス（情報の入手、情報の改ざんなど）できないように、以下を考慮した対策を提案すること。
z

悪意ある文字列の入力チェックもしくは無害化z

SQLインジェクションの防御z

コマンドインジェクションの防御z

パストラバーサルの防御z

パラメータ改ざんの防御z

クロスサイトスクリプティングの防御z

バッファオーバフローの防御

２．認証と承認なりすましや管理者権限の不正取得などができないような措置を講ずること。
z

パスワード等を用いてユーザを認証することにより、各ユーザに対して許可されない行為は防止すること。

３．適切なパスワード、セッション情報パスワードやセッション情報を不正に使用されないよう、適切な措置を講ずること。
z

パスワード、セッション情報は、有効期限、推測されにくに文字列、一定以上の桁数などの制限を設けて不正使用を防止すること。

z

高い頻度でパスワード照合に失敗するなど不正使用の可能性が疑われる場合は、アカウン
トをロックする等して不正使用を防止すること。

４．機密データの暗号化
機密データを暗号化し、万一のデータ流出時にもデータ内容を保護できるように、以下を考慮した対策を提案すること。
z

個人情報や社外秘などの重要なデータについての暗号化

z

万一の盗聴や盗難および紛失の際のデータ解読の不可能-8Copyright (c) 2005

NPO 日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

JNSA セキュアシステム開発ガイドライン
５．機密情報へのアクセス制御と情報漏えい防止
機密情報やアカウント情報にアクセスできないようにアクセス制御を実施し、機密情報の漏えいや データの改ざんが行なわれないように、以下を考慮した対策を提案すること。
また印刷物の持ち出しや外部メディアへの情報取り込み等の物理的な情報漏えいを防止するた
め、プリントアウト制御・外部メディアへの制御等についての対策についても提案すること。
z

社員や派遣社員および協力会社などの内部の人間による機密情報漏えいの防止z

機密情報に対する、不正な変更・改ざんの防止または抑止z

本来権限のないユーザによる機密情報へのアクセスを防止z

本来権限のないユーザによるアカウント情報へのアクセスを防止z

プリントアウト後に、紙を持ち出す等による物理的な機密情報漏えいの防止および抑止z

テープ・CDやUSBメモリーなどの外部媒体にコピーすることによる機密情報漏えいの防止および抑止z

内部情報の記録された外部媒体を物理的に持ち出すことの防止および抑止

６．監査とログ記録
各種ログ記録を確実に取ることにより、万一事故が発生した場合に追跡の基礎情報を取得可能な様に、以下を考慮した対策を講じること。またログへのアクセスは権限者のみに限定される対策についても提案すること。

z

ユーザの操作実行の否認を、ログの分析により防止。

z

攻撃者が痕跡を残さずにアプリケーションを悪用することを防止。

z

攻撃者によるログの改ざん、消去を防止。

z

各種ログの時系列整合性のために時刻同期をおこなうこと。

※ 本RFPで求められない事項に関しても、本システムに採用すべき対策等があれば追加で提案してください。

-9Copyright (c) 2005

NPO 日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

JNSA セキュアシステム開発ガイドライン

パターン２：現象面からの RFP 記載例
１．システムダウン・レスポンス低下防止策
外部から攻撃されても一定時間以上のシステムダウンを起こさないように、以下を考慮した対策を提案すること。
z DoS、DDoS攻撃によるシステムダウン、レスポンス低下
z アクセス集中によるシステム／サービスのダウン、レスポンス低下
z OSのバグやセキュリティホールを利用した攻撃によるシステムダウン、レスポンス低下
z 不正侵入による悪意あるシステムダウン
z 故意／過失による高負荷処理に耐えられる構成２．なりすまし・否認防止策
正規ユーザのIDを不正に取得するなどしてなりすましを行い、システムを利用することを防ぐ対策、行った注文処理などを事後に否認されないため、以下を考慮した対策を提案すること。
z ユーザIDやパスワードの推測、盗聴z セッションハイジャックz クロスサイトリクエストフォージュリ
z 事後否認の防止
３．漏えい対策
情報漏えいを防止するため、以下を考慮した対策を提案すること。
z 通信経路上の盗聴
z 万一、データ盗難が起きた場合における安全策
z 正常な操作（権限を有する操作）における情報漏えい
z 人的ミスによる情報漏えい
４．改ざん防止対策
コンテンツやデータ、通信内容の改ざんを防ぐため、以下を考慮した対策を提案すること。
z 通信系路上での通信データの改ざん
z コンテンツやデータの改ざん
z 各種ログファイルの改ざん- 10 Copyright (c) 2005

NPO 日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

JNSA セキュアシステム開発ガイドライン
５．ユーザへの被害対策
システムのユーザやサイトの閲覧者が、当サイトの直接的・間接的原因により、被害を受けることのないように、以下を考慮した対策を提案すること。
z クロスサイトスクリプティング
z フィッシングz ウイルス・ワーム・スパイウェア等のユーザ・閲覧者への感染
z 迷惑メール対策（本システムが迷惑メールの発信に悪用されないこと）
６．脆弱性対策
サーバやネットワーク機器、アプリケーションの脆弱性に起因する情報漏えいや改ざん・なりすましなどの脅威に対抗するため、以下を考慮した対策を提案すること。
z Webアプリケーションの脆弱性を利用した不正アクセス
z OSやミドルウェア等のパッチを適用するための適切な構成・対策
z 脆弱なサービスや設定による不正アクセスを防ぐ （要塞化）
７．内部者対策
内部者による情報漏えい・改ざんを防止・抑止するため、以下を考慮した対策を提案すること。
z 内部者による故意の情報漏えい・改ざん等の防止
z 内部者による故意の情報漏えい・改ざん等の抑止
z 内部者のミスオペレーションに起因する漏えいや設定ミス等の防止８．全般的な対策
前出の脅威個々の対策ではなく、全般にわたる以下のような対策を提案すること。
z 攻撃検知・防御機能
z ログ・監査証跡の取得。システムのログ、アクセスログ、操作ログなどについてそれぞれどの項目・操作について取得するかを明確化すること。
z バックアップデータの保護策
９．セキュリティ運用
上記すべての対策に関して、セキュリティを維持・向上するための運用設計を行うこと。

※ 本RFPで求められない事項に関しても、本システムに採用すべき対策等があれば追加で提案してください。

- 11 Copyright (c) 2005

NPO 日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

JNSA セキュアシステム開発ガイドライン

パターン３：脅威モデルからの RFP 記載例
１． なりすまし、データの改ざん、情報の漏えいに関してなりすまし、データの改ざん、情報の漏えいの発生を軽減する方法と発生した場合に検知できうる仕組みの提供を提案してください。
２． サービスの低下、アクセス権の昇格に関して悪意のDOS攻撃などによるサービスの低下やアクセス権の昇格による影響を軽減する方法に関して提案してください。
３．否認の防止に関して更に記録として残す部分に関しては否認を防止するために必要な手段の提供を提案してください。

- 12 Copyright (c) 2005

NPO 日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

JNSA セキュアシステム開発ガイドライン

パターン１：

対策手法の視点からの必須度マトリクス有り

セキュリティ インターネットなどの外部公開要件
機密情報（個人情報、決済情報など）システムの利用者
１．入力検証および不正データ入力時の無効化
・悪意ある文字列の入力チェックもしくは無害化
・SQLインジェクションの防御・コマンドインジェクションの防御
・パストラバーサルの防御・パラメータ改ざんの防御・クロスサイトスクリプティングの防御・バッファオーバフローの防御

無し

不特定多数

無し
特定多数

特定限定

有り
-

不特定多数

無し
特定多数

特定限定

必須
必須
必須
必須
必須
必須
必須

必須
必須
必須
必須
必須
必須
必須

必須
必須
必須
必須
必須
必須
必須

必須
必須
必須
必須
必須
必須
必須

必須
必須
必須
必須
必須
必須
必須

必須
必須
必須
必須
必須
必須
必須

推奨
推奨
推奨
推奨
推奨
推奨
推奨

推奨
推奨
推奨
推奨
推奨
推奨
推奨

必須

任意

必須

必須

必須

任意

必須

推奨

必須

任意

必須

必須

必須

任意

必須

推奨

必須

任意

必須

必須

必須

任意

必須

推奨

推奨
推奨

任意
任意

任意
任意

任意
任意

推奨
推奨

任意
任意

任意
任意

任意
任意

有り
-

２．認証と承認・パスワード等を用いてユーザを認証することにより、各ユーザに対して許可されない行為は防止すること。

３．適切なパスワード、セッション情報
・パスワード、セッション情報は、有効期限、推測されにくに文字列、一定以上の桁数などの制限を設けて不正使用を防止すること。
・高い頻度でパスワード照合に失敗するなど不正使用の可能性が疑われる場合は、アカウントをロックする等して不正使用を防止すること。

４．機密データの暗号化
・個人情報や社外秘などの重要なデータについての暗号化
・万一の盗聴や盗難および紛失の際のデータ解読の不可能

５．機密情報へのアクセス制御と情報漏えい防止
・社員や派遣社員および協力会社などの内部の人間による機密情報漏えいの防止
・機密情報に対する、不正な変更・改ざんの防止または抑止・本来権限のないユーザによる機密情報へのアクセスを防止
・本来権限のないユーザによるアカウント情報へのアクセスを防止・プリントアウト後に、紙を持ち出す等による物理的な、機密情報漏えいの防止および抑止・テープ・CDやUSBメモリーなどの外部媒体にコピーすることによる機密情報漏えいの防止および抑止・内部情報の記録された外部媒体を物理的に持ち出すことの防止および抑止必須

推奨

推奨

推奨

必須

推奨

推奨

推奨

必須
必須

推奨
推奨

推奨
推奨

推奨
推奨

必須
必須

推奨
推奨

推奨
推奨

推奨
推奨

必須

必須

必須

必須

必須

必須

必須

推奨

必須

任意

任意

任意

必須

任意

任意

任意

必須

任意

任意

任意

必須

任意

任意

任意

必須

必須

必須

必須

必須

必須

必須

必須

必須

任意

推奨

推奨

必須

任意

推奨

推奨

必須

必須

必須

必須

必須

必須

必須

推奨

必須
必須

必須
必須

必須
必須

必須
必須

必須
必須

必須
必須

必須
必須

推奨
推奨

６．監査とログ記録
・ユーザの操作実行の否認を、ログの分析により防止。
・攻撃者が痕跡を残さずにアプリケーションを悪用することを防止。
・攻撃者によるログの改ざん、消去を防止。
・各種ログの時系列整合性のために時刻同期をおこなうこと。

- 13 Copyright (c) 2005

NPO 日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

JNSA セキュアシステム開発ガイドライン

パターン２：

現象面の視点からの必須度マトリクス有り

セキュリティ インターネットなどの外部公開要件
機密情報（個人情報、決済情報など）システムの利用者
１．システムダウン・レスポンス低下防止策
・DoS、DDoS攻撃によるシステムダウン、レスポンス低下
・アクセス集中によるシステム／サービスのダウン、レスポンス低下
・OSのバグやセキュリティホールを利用した攻撃によるシステムダウン、レスポンス低下
・不正侵入による悪意あるシステムダウン
・故意／過失による高負荷処理に耐えられる構成

有り
任意
任意

無し

不特定多数

無し
特定多数

任意
任意

任意
任意

特定限定

有り
-

不特定多数

無し
特定多数

特定限定

任意
任意

任意
任意

任意
任意

任意
任意

任意
任意

推奨

推奨

推奨

推奨

推奨

推奨

推奨

推奨

必須
推奨

必須
推奨

必須
推奨

必須
推奨

推奨
推奨

必須
推奨

推奨
推奨

推奨
推奨

必須
必須
必須
推奨

任意
任意
推奨
任意

必須
必須
必須
推奨

必須
必須
必須
推奨

必須
必須
必須
推奨

任意
任意
推奨
任意

必須
必須
推奨
推奨

必須
推奨
推奨
推奨

必須
推奨
必須
推奨

任意
推奨
必須
推奨

必須
推奨
必須
推奨

必須
推奨
必須
推奨

必須
推奨
必須
推奨

任意
推奨
必須推奨

必須
推奨
推奨
推奨

必須
推奨
推奨
推奨

必須
必須
必須

必須
推奨
必須

必須
推奨
必須

必須
推奨
必須

必須
必須
必須

必須
推奨
必須

必須
推奨
必須

必須
推奨
必須

必須
必須
必須
必須

必須
任意
必須
必須

必須
推奨
必須
必須

必須
推奨
必須
必須

必須
必須
必須

必須
必須
必須

必須
必須
必須

必須
必須
必須

必須
必須
必須

必須
必須
必須

必須
必須
必須

必須
必須
必須

必須
必須
必須

必須
必須
必須

必須
必須
必須

必須
必須
必須

推奨
必須
必須

任意
必須
推奨

任意
必須
推奨

任意
必須
推奨

推奨
必須
必須

任意
必須
推奨

任意
必須
推奨

任意
必須
推奨

推奨

推奨

推奨

推奨

任意

推奨

任意

任意

必須

必須

必須

必須

必須

必須

推奨

推奨

推奨

推奨

推奨

推奨

推奨

推奨

推奨

推奨

必須

必須

必須

必須

必須

必須

必須

必須

２．なりすまし・否認防止策
・ユーザIDやパスワードの推測、盗聴・セッションハイジャック・クロスサイトリクエストフォージュリ
・事後否認の防止

３．漏えい対策
・通信経路上の盗聴
・万一、データ盗難が起きた場合における安全策
・正常な操作（権限を有する操作）における情報漏えい
・人的ミスによる情報漏えい

４．改ざん防止対策
・通信系路上での通信データの改ざん
・コンテンツやデータの改ざん
・各種ログファイルの改ざん

５．ユーザへの被害対策
・クロスサイトスクリプティング
・フィッシング・ウイルス・ワーム・スパイウェア等のユーザ・閲覧者への感染・迷惑メール対策（本システムが迷惑メールの発信に悪用されないこと）

６．脆弱性対策・Webアプリケーションの脆弱性を利用した不正アクセス
・OSやミドルウェア等のパッチを適用するための適切な構成・対策
・脆弱なサービスや設定による不正アクセスを防ぐ （要塞化）

７．内部者対策
・内部者による故意の情報漏えい・改ざん等の防止・内部者による故意の情報漏えい・改ざん等の抑止・内部者のミスオペレーションに起因する漏えいや設定ミス等の防止８．全般的な対策
・攻撃検知・防御機能
・ログ・監査証跡の取得。システムのログ、アクセスログ、操作ログなどについてそれぞれどの項目・操作について取得するかを明確化すること。
・バックアップデータの保護策

９．セキュリティ運用
・上記すべての対策に関して、セキュリティを維持・向上するための運用設計を行うこと。

- 14 Copyright (c) 2005

NPO 日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

JNSA セキュアシステム開発ガイドライン

パターン３：

脅威モデルの視点からの必須度マトリクス有り

セキュリティ インターネットなどの外部公開要件
機密情報（個人情報、決済情報など）システムの利用者
１．なりすまし、データの改ざん、情報の漏えいに関して・なりすまし
・データの改ざん
・情報の漏えい２．サービスの低下、アクセス権の昇格に関して・サービスの低下
・アクセス権の昇格
３．否認の防止に関して・否認の防止

無し

不特定多数

無し
特定多数

必須
必須
必須

必須
必須
必須

必須
必須
必須

有り
-

特定限定

有り
-

不特定多数

無し
特定多数

特定限定

必須
必須
必須

必須
推奨
推奨

必須
必須
必須

必須
必須
必須

必須
必須
必須

必須
推奨
推奨

必須
必須

必須
必須

推奨
推奨

必須
必須

推奨
必須

推奨
推奨

任意
推奨

任意

推奨

推奨

必須

任意

任意

任意

- 15 Copyright (c) 2005

NPO 日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会