情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問30

コモンクライテリア（CC）【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題のキーワード「セキュリティ評価の国際標準」「コモンクライテリア（CC）」に注目する。
2. 各選択肢が何の規格かを整理する（品質管理、環境、セキュリティ評価、リスク管理など）。
3. CC に該当するのは「IT のセキュリティ評価基準」であることから、ISO/IEC 15408 を選ぶ。
   この段階分解で、ウ が明確に当てはまります。

選択肢別の誤答解説

• ア: ISO 9001
  • ISO 9001 は品質マネジメントシステム（QMS：Quality Management System）の国際規格です。製品やサービスの品質管理に関する規定であり、IT 製品のセキュリティ評価基準ではありません。
• イ: ISO 14004
  • ISO 14004 は環境マネジメントシステム（EMS）の実施に関するガイダンス文書です（ISO 14001 が環境マネジメントの要求事項）。環境分野でありセキュリティ評価とは別領域です。
• ウ: ISO/IEC 15408
  • 正解。IT 製品・システムのセキュリティ機能（例えば認証やアクセス制御など）と、その保証度（Evaluation Assurance Level：EAL）を評価する国際標準です。
• エ: ISO/IEC 27005
  • ISO/IEC 27005 は情報セキュリティリスクマネジメントのためのガイダンス規格です。「リスクをどう評価・管理するか」を扱うもので、CC のような製品評価基準ではありません。
    （つまり、用途の違いで区別できます：製品評価＝ウ、リスク管理＝エ、品質＝ア、環境＝イ）

よくある誤解

1. CC と ISO/IEC 27001（情報セキュリティマネジメントシステム規格）を混同する
   • CC は製品やシステムの「技術的なセキュリティ評価基準」です。一方 ISO/IEC 27001 は組織が情報セキュリティを管理する仕組み（マネジメントシステム）に関する規格です。対象と目的が違います。
2. CC 評価＝すべてのセキュリティ保証があると考える誤解
   • CC は評価された範囲（Protection Profile やセキュリティ要求）についての保証です。評価外の機能や運用ミスは別問題です。実運用での対策は必要です。

補足コラム

• EAL（Evaluation Assurance Level：評価保証レベル）とは
  • CC では、対象の評価深度を示す段階（EAL1〜EAL7）が設定されています。数字が大きいほど厳密な評価と高い保証を意味しますが、コストや実現可能性が上がります。
• 実務での使い方（調達や導入）
  • 企業がセキュリティ製品を導入する際、要求仕様に「CC 認証（例：EAL2 以上）」を明記することがあります。これは第三者評価を条件にして、製品の信頼性を確かめるやり方です。ただし、EAL と実際の運用安全性は別物なので、運用ルールや脆弱性管理も必須です。
• 国際相互承認
  • CC の評価結果は国際的に相互承認される枠組み（CCRA：Common Criteria Recognition Arrangement）があります。これにより、ある国で評価済みの製品が他国でも評価を簡略化して受け入れられる場合があります。

FAQ