セキュリティ機能要件

コモンクライテリア（CC／ISO/IEC 15408）におけるセキュリティ機能要件（SFR）は、評価対象（TOE）が脅威へ対抗しセキュリティ目的を達成するために、どのようなセキュリティ機能を提供すべきかを定める要件です。

■ 試験で押さえるポイント

• 識別・認証、アクセス制御、監査、暗号支援、利用者データ保護、セキュリティ管理などの機能を体系的な部品から選択・具体化します。

• プロテクションプロファイル（PP）やセキュリティターゲット（ST）で、脅威・前提・方針からセキュリティ目的を経てSFRへ対応付けます。

• 『AES-256を使う』のような実装方式だけでなく、保護対象、操作、主体、条件、期待する振る舞いを評価可能に定義します。

• 機能が何をするかを表すSFRに対し、保証要件（SAR）は設計・テスト・評価証拠などから実装への信頼をどのように得るかを表します。

■ 選択肢での判断ポイント

What、すなわちTOEが提供すべきセキュリティ機能として、How wellを扱う保証要件との違いを判断します。

例: 管理者だけが監査ログを閲覧でき、認証失敗を記録し、所定回数でアカウントをロックする機能をSFRとして定めます。