IT資格用語解説基本情報技術者試験・標準・規格と標準化団体
ISO/IEC 15408
更新日:
用語解説
ISO/IEC 15408は、IT製品・システムのセキュリティ機能と保証を共通の基準で記述・評価するCommon Criteriaに対応する国際規格です。
■ 試験で押さえるポイント
評価対象をTOE（Target of Evaluation）と呼び、境界、想定利用環境、脅威、セキュリティ目的を明確にします。
利用者側の共通要求をPP（Protection Profile）、特定製品の機能・保証要求と実装概要をST（Security Target）に記述します。
セキュリティ機能要件SFRとセキュリティ保証要件SARに基づき、独立した評価機関が設計文書、開発環境、試験、脆弱性分析等を評価します。
従来のEAL1〜EAL7は保証の深さ・厳密さを段階化しますが、高EALがあらゆる用途で安全又は機能が豊富という意味ではなく、評価範囲を確認します。
■ 選択肢での判断ポイント
Common Criteria、TOE、PP、ST、SFR・SAR、EALを対応付けます。評価は定義した脅威・構成・保証範囲内のものです。
例: ICカード用PPを参照して製品固有のSTを作り、そのTOEの暗号・アクセス制御と開発・試験証拠を評価機関が検証します。