プロジェクトマネージャ 2023年 午前2 問23
問題文
セキュリティ評価基準であるISO/IEC 15408の説明はどれか。
選択肢
ア：IT製品のセキュリティ機能を、IT製品の仕様書、ガイダンス、開発プロセスなどの様々な視点から評価するための国際規格である。（正解）
イ：IT製品やシステムを利用する要員に対するセキュリティ教育やセキュリティ監査の実施といった、組織でのセキュリティ管理を評価するための国際規格である。
ウ：暗号モジュールに暗号アルゴリズムが適切に実装されているかどうかを評価するための国際規格である。
エ：評価保証レベル（Evaluation Assurance Level：EAL）の要件に基づいて、セキュリティ機能の強度を評価するための国際規格である。
🔒 解説は解答すると表示されます
ISO/IEC 15408の評価基準【午前2解説】
正解の理由
ISO/IEC 15408は、IT製品やシステムのセキュリティを評価するための国際規格です。製品のセキュリティ機能だけでなく、仕様書やガイダンス、開発プロセスなども評価の対象になります。
この規格の説明として適切なのは、IT製品のセキュリティ機能をさまざまな視点から評価する国際規格であるとするアです。ISO/IEC 15408は「コモンクライテリア（Common Criteria：CC）」とも呼ばれます。
解法ステップ
- 問われている規格が、何を評価するものかを確認します。
- 「IT製品のセキュリティ評価」に関する規格であれば、ISO/IEC 15408（コモンクライテリア）が候補になります。
- 暗号モジュールの評価や、組織のセキュリティ管理の評価と混同しないように選択肢を見比べます。
- 製品のセキュリティ機能や、その開発・仕様に関する評価を説明しているアを選びます。
選択肢別の誤答解説
- ア：正しい説明です。IT製品などのセキュリティ機能と、その機能が適切に実装されていることを支える情報を評価します。
- イ：誤りです。要員への教育や組織的なセキュリティ管理は、情報セキュリティマネジメントシステム（ISMS）などに関連する内容です。
- ウ：誤りです。暗号モジュールの安全性や実装を評価する規格と混同しています。ISO/IEC 15408の主な対象は、暗号モジュールに限られません。
- エ：誤りです。EALは、評価における保証の段階を示します。セキュリティ機能そのものの強度を直接示す尺度ではありません。
よくある誤解
-
EALが高いほど、セキュリティ機能も強力だと思う
EALは、製品のセキュリティ機能が要求どおりに実装されていることについて、どの程度の保証が得られているかを示します。機能の強さそのものを表すものではありません。 -
ISO/IEC 15408は、組織のセキュリティ管理を評価する規格だと思う
主な対象はIT製品やシステムです。組織全体の管理体制を評価する規格とは区別しましょう。 -
暗号を使う製品なら、ISO/IEC 15408は暗号方式だけを評価すると思う
暗号機能は製品のセキュリティ機能の一部になり得ますが、規格の対象は暗号機能だけではありません。
補足コラム
コモンクライテリアでは、製品に求めるセキュリティ要件を明確にし、それに照らして評価します。評価保証レベル（EAL）は、その評価における保証の深さや厳密さの段階を示すものです。
そのため、「EALが高い製品ほど、あらゆる攻撃に強い」とは限りません。どのような脅威や要件を対象に評価されたのかも確認することが大切です。
FAQ
Q. コモンクライテリアとISO/IEC 15408は別のものですか？
A. 同じ評価の枠組みを指す呼び方です。ISO/IEC 15408は規格名で、コモンクライテリア（CC）はその通称です。
A. 同じ評価の枠組みを指す呼び方です。ISO/IEC 15408は規格名で、コモンクライテリア（CC）はその通称です。
Q. EALの数値が高い製品を選べば、必ず安全ですか？
A. 必ず安全とはいえません。EALは評価上の保証レベルを示すものであり、製品の用途や想定する脅威に合っているかも確認する必要があります。
A. 必ず安全とはいえません。EALは評価上の保証レベルを示すものであり、製品の用途や想定する脅威に合っているかも確認する必要があります。
関連キーワード: コモンクライテリア、Common Criteria、評価保証レベル、EAL、セキュリティ評価、ISMS
\ せっかくなら /
プロジェクトマネージャを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！