令和5年度秋期 プロジェクトマネージャ 午前Ⅱ 問23

評価の対象範囲に注目する

セキュリティの評価について考える際は、まず扱われている対象の範囲に注目しましょう。用語から内容を補うのではなく、与えられた情報の中で、どこまでが対象として述べられているかを丁寧に確かめることが大切です。

この問題で問われていること

今回の検討では、評価について述べられている内容の対象範囲を意識して情報を整理してください。対象が明示されている部分と、自分の知識から補っている部分を分け、対象の範囲を読み取り以上に広げていないか確認しましょう。

視点

ここで整理するのは、評価の内容が及ぶ範囲です。対象を指す言葉とその周辺の記述を手掛かりに、読み取れる範囲を自分の言葉で短くまとめてみましょう。用語の印象だけで対象を広げないことが、この視点での確認につながります。

確認ポイント

• 対象を指す言葉はどこにあるか
• 対象の範囲をどの記述から読み取ったか
• 対象の範囲に自分の推測を加えていないか

正解

ア

解説

正解はアです。ISO/IEC 15408は、IT製品のセキュリティ機能を様々な視点から評価する国際規格です。EALは評価の厳密さや保証の度合いを示す尺度であり、セキュリティ機能の強度を測るものではありません。

理由

ISO/IEC 15408は、IT製品のセキュリティ機能を評価するための国際規格です。評価では、製品の仕様書、ガイダンス、開発プロセスなどを確認します。このように様々な視点から評価すると述べているアが正解です。

比較

イはセキュリティ教育や監査などの組織の管理活動を評価する説明であり、製品のセキュリティ機能の評価とは対象が異なります。ウは暗号モジュールへの暗号アルゴリズムの実装の評価に対象を限定しています。エはEALと機能の強度を取り違えています。EALは評価の厳密さや保証の度合いを示す尺度であり、セキュリティ機能の強度を測るものではありません。

選択肢ア（正解）

これは正解だよ。ISO/IEC 15408は、IT製品のセキュリティ機能を評価するための国際規格です。仕様書、ガイダンス、開発プロセスなどを確認し、機能とその保証を様々な視点から評価するという説明が、設問の規格に合致します。

選択肢イ

これは不正解だよ。セキュリティ教育や監査の実施など、組織でのセキュリティ管理を評価するという説明です。ISO/IEC 15408が扱うIT製品のセキュリティ機能の評価とは、評価対象が異なります。組織の管理活動と製品の機能を区別しましょう。

選択肢ウ

これは不正解だよ。暗号モジュールへの暗号アルゴリズムの実装が適切かを評価するという、対象を限定した説明です。ISO/IEC 15408は、IT製品のセキュリティ機能を仕様書や開発プロセスなどの様々な視点から評価する規格なので、この説明とは一致しません。

選択肢エ

これは不正解だよ。EAL（評価保証レベル）は、評価の厳密さや保証の度合いを示す尺度であり、セキュリティ機能の強度を測るものではありません。選択肢は、EALに基づく保証の評価と機能の強度の評価を取り違えているため、誤りです。

学習のポイント

製品のセキュリティ評価と組織の管理の評価を区別し、EALが機能の強度ではなく保証の度合いを示すことを理解しましょう。