ITセキュリティ評価・認証の枠組み（CC・JISEC）
更新日:
用語解説
Common Criteria（CC、ISO/IEC 15408）は、IT製品・システムのセキュリティ機能と、その機能が正しく実装されているという保証を、共通の要件で評価する国際規格です。日本ではJISECがCCに基づくITセキュリティ評価・認証制度を運営します。
■ 試験で押さえるポイント
TOE（Target of Evaluation）は評価対象です。評価範囲と構成を明確にし、製品名だけで評価対象全体を推測しません。
PP（Protection Profile）は製品種別などに共通するセキュリティ課題・要件を実装非依存に記述し、ST（Security Target）は特定TOEの課題、機能要件、保証要件などを記述します。
SFRはTOEが提供すべきセキュリティ機能の要件、SARはその機能へ信頼を与えるための開発・評価証拠や評価活動の要件です。
CEM（ISO/IEC 18045）はCC評価を実施するための共通評価方法を定めます。認証機関と評価機関の役割も区別します。
EALは評価保証の深さ・厳密さを表します。数値が高いだけで、想定利用環境に適合する、脆弱性がない、又は他製品より常に安全とはいえません。
■ 過去問での着眼点
PPは製品種別に共通する要求、STは特定TOEについて評価対象と要件を記述する文書です。CC認証は定めた評価範囲・構成・前提の下で得られた保証です。EALの高さを製品の絶対的な安全性と読み替えないことが重要です。
例: ファイアウォール用PPを参照して製品XのSTを作成し、評価機関がCEMに従って証拠とTOEを評価し、認証機関が結果を認証します。