PP（Protection Profile：プロテクションプロファイル）
更新日:
用語解説
PP（Protection Profile：プロテクションプロファイル）は、ISO/IEC 15408（コモンクライテリア）で、ファイアウォール、ICカード、複合機などの製品の分野（種類）ごとに、必要なセキュリティ要件を、特定の製品の実装に依存しない形でまとめた文書です。主に、調達者、業界団体、政府機関などが作ります。
■ 試験で押さえるポイント
想定する脅威、前提条件、セキュリティ対策方針、セキュリティ機能要件（SFR）、保証要件（EALなど）を書きます。
実装に依存しないので、同じ分野の複数の製品に共通して使え、製品どうしを同じ基準で比べられます。
製品の開発者は、PPに適合するST（セキュリティターゲット）を作り、自社製品（TOE）の具体的なセキュリティの仕様を示します。
用語 | 主に作る人 | 内容 |
|---|---|---|
TOE（評価対象） | － | 評価を受ける製品やシステム（またはその一部） |
PP（プロテクションプロファイル） | 調達者・業界団体など | 製品の分野ごとの、実装に依存しないセキュリティ要件 |
ST（セキュリティターゲット） | 製品の開発者 | 特定の製品（TOE）のセキュリティ要件と、実装する機能の仕様。PPへの適合を主張できる |
EAL（評価保証レベル） | － | 評価の厳密さの段階（EAL1〜EAL7） |
■ 過去問での着眼点
「製品の分野ごとに、実装に依存しないセキュリティ要件をまとめたもの」がPP、「特定の製品について、セキュリティ要件と実装する機能を書いたもの」がST、「評価の厳密さの段階」がEALです。選択肢でこの3つを入れ替えたひっかけに注意します。
例: 政府が複合機の調達でPPへの適合を条件にし、各メーカーはPPに適合したSTを作って、JISECで評価・認証を受けます。