データベース設計のチェックリスト

1.各種制約は、正しく実装されているか

2.追加、更新などの処理のログが出力されているか

3.監査用の設定は適切か

4.Foreign keyの設定は、適切か

5.文字列前のスペースなど、不要な文字がある場合の処理は適切か

要求の表現規則

(1)表現が具体的

(2)二つ以上の意味を含めない

(3)否定的な表現を避ける

(4)方策や対策を含まない

ユーザストーリーとタスクの関係

・ユーザストーリーは、何をすべきか(ユーザの要求)を表す

・タスクは、ユーザストーリーをどう実現するかを表す

　機能が、どう実装されるかを示す

・ユーザストーリーは、タスクに分割される

・ユーザストーリーは、受入試験によって、検証される

セキュアプログラミングのポイント

1.SQLの組立には、プレースホルダを利用する

　　・バインドされる値が、エスケープ処理される

　　・プレースホルダが利用できない場合は、エスケープ処理する

2.ファイル名を指定するような場合は、ファイル名のチェックを行う

　　・「/」「../」などのディレクトリを指定されるような入力を防ぐ

3.セッション管理は、アプリケーションサーバに任せる

　　・URLのパラメータなどに入れない

4.Cookieには、secure属性を加える

       secure属性を加えれば。httpsのみで利用され、httpの盗聴への対策となる

5.ログインに成功したら、既存のセッションを破棄して、新しいセッションを開始する

6.入出力のチェックを行う

7.HTTPレスポンスヘッダの、Content-TYPE に、文字コードを指定する

　　　特定の文字コードで、スクリプトのタグとなるような攻撃を防ぐ

8.Cookie にHttpOnly属性を加える

　　　HTML内のスクリプトからのアクセスが禁止できる

9.ブラウザのセキュリティ機能を有効にするようなレスポンスヘッダを返す

　　　例えば、X-XSS-Protection。クロスサイト。スクリプティングをブロックする機能

10.重要な処理を行う前には、再度パスワード入力を求める

11.Referで、遷移元が正しいかを、チェックする

12.重要な操作を行った場合には、メールを出し確認する

13.HTTPレスポンスヘッダに、X-Frame-Optionを出力し、他のドメインからのframe要素、iframe要素による読み込みを制限する

要求の獲得

顧客などのステークホルダーに関して、次のようなことを聞くこと

・システムの目的は？

・何を達成したいの？

・どんなビジネスニーズに対応するの？

・システムがビジネスで、どう使われていくの？



しかし、要求の獲得は、次のような理由で難しい

1.スコープの問題

スコープの設定が悪いと、スコープが無限に広がっていく


2.要求や問題自体の問題

利用者が、問題自体を正しく認識していない

利用者によって、問題のとらえ方が異なる


3. 要求は時間とともに変化する



要求獲得のプロセスには、次のような作業がある

1.ビジネスや技術の面から実現可能性を検討

2.要求の定義および組織での役割の特定

3.技術環境（アーキテクチャ等）の定義

4.ドメインの制約定義

5.要求獲得の技法の定義（インタビュー、ミーティング）

6.要求獲得、プロトタイプでの確認

7.ユースケースシナリオの定義