セキュリティ要件を定義しよう（Webアプリ編） - Qiita高いセキュリティレベルが要求されるシステムの開発を依頼される場合があります。 その場合には、システムをセキュアに作るだけではなく、お客様に「何が」「どう」セキュアなのか、説明する必要があったり、場合によっては担保する必要があります。 この場合、何を元に説明したり、担保したりすればよいのでしょうか？ ここで使われるのがセキュリティ要件定義書です。 OWASP（後述）のセキュリティ要件定義書をベースに、セキュリティ要件定義書の作り方、入れるべき内容を学びましょう！ 要件定義書に書くべきこと セキュリティ要件に書くべきことは、セキュリティ対策のためにベンダーが「具体的に何をやるか」です。 どんな攻撃が想定されていて、どんな防御方法を取るか、セキュリティ要件定義書を使ってそれを説明し、方針についての合意を獲得します。 ただし、「どんな攻撃が想定されていて」の部分は、最終的な要件定義書には書かれてい
