2018/10/18)前のブログでリスク分析について書きました。リスク分析方法を書く前にセキュリティ要求について書きます。27000では6つのセキュリティ要素が情報セキュリティに必要であるとしています。責任追跡性)これらが基礎的な情報セキュリティの要求事項になります。加えたモノが情報セキュリティに必要な要素と定義されています。13335(古い情報セキュリティ標準)で定義していた要素に戻った形になりました。これで終わってしまうと何の事なのか?究極の要求事項とは何なのか?となると思います。究極の要求事項を知って適用するだけ、でも大きな違いが生まれると思います。関連TL;DR;できる限り簡潔に書こう、と思いましたが書いてみると長くなってしまいました。項目だけを挙げるなら簡潔になります。27000/13335を直接読んで理解する方が良いでしょう。考え方を知っているだけでもより良い開発ができると思います。いうことで結論の、究極のセキュリティ要求事項=最も根本的なセキュリティ要求事項、は以下になります。27000の定義をまとめた定義です要求定義/仕様定義/実装を行う際に、これを徹底して実施すると自然とセキュアなモノになっていきます。(ブラックリスト型になると、正しく実行することを確実にするのは構造的に無理になります。ホワイトリスト型が基本です)正しいのか簡単に検証します。