セキュリティ設計における4番目の間違いが、セキュリティ対策を後工程ととらえることだ。業務で求められる機能の定義や設計に手いっぱいで、セキュリティ設計は別工程として扱われて後回しになる。どの現場でも起こりがちな間違いである。
早めに着手する
特にネットワークに関するセキュリティ設計は、アプリケーション開発担当のエンジニアが「後で担当のエンジニアに任せればいい」と思ってしまうことが多い。既存のネットワークとの整合性も考えないまま開発を進め、テストフェーズになって問題が見つかる。その時点でアプリケーションを改修するにはコストが掛かるため、複雑なネットワーク設計で対処するケースが後を絶たない。
インターネットイニシアティブ（IIJ）の岸三樹夫氏（サービス本部 プラットフォームサービス部 セキュリティサービス課）は、「特にファイアウォールの設定にしわ寄せがくることが多い。複雑な設定はセキュリティリスクを高めてしまう」と警告する。
ある新システムを開発するプロジェクトで、岸氏は実際にファイアウォールの複雑な設定を余儀なくされた（図8）。新システムは、ファイアウォールを介して既存システムとデータをやり取りする。しかしネットワークに関するセキュリティ設計が後回しになっており、テストフェーズで問題が見つかった。DMZ（非武装地帯）セグメントで動作する既存システムは同一セグメント以外からのアクセスを拒否する設定になっていたが、その調査を怠っていたのだ。アプリケーションやOSなど複数個所でアクセス制御を実施しているため、新システムからのアクセスを受け付けるように修正するには1カ月掛かる。それを待っているとカットオーバーの予定に間に合わない。
岸氏は結局、ファイアウォールのネットワーク設計を次のように変えることで対処した。ファイアウォールのアドレス変換（NAT）機能を使って、新システムから既存システムへのアクセスを同一セグメントからだと見せかけることにしたのだ。
ネットワーク設計を後回しにしていなければ、ファイアウォール設計をこのように複雑にする必要はなかった。「特にTCP/IPベースのアクセス制御機能をアプリケーションに組み込む場合、早めのネットワーク設計が不可欠になる。後で問題が見つかると改修コストが高くつく」と岸氏はいう。
