平成30年度秋期 システムアーキテクト 午前Ⅱ 問24

規格の対象と目的を見極める

セキュリティ関連の国際標準規格は数多く、名称や番号が似ていても定める内容は異なります。規格名を暗記で当てるのではなく、その規格が何を対象にし、何のために定められたのかを整理してから、問われている内容と照らし合わせましょう。

この問題で問われていること

この問題で絞り込む観点は「規格の適用対象と目的」の一点です。問題が求めている活動が何に対して行われ、どのような結果を得るためのものかを自分の言葉で言い表し、それに合致する規格かどうかを一つずつ確かめてください。

視点

国際標準規格を学ぶときは、規格番号や略称を単独で覚えるより、「誰が」「何に対して」「何を目的に」使う規格なのかをひとまとまりで整理すると区別しやすくなります。同じ情報セキュリティ分野でも、規格ごとに適用する対象や、得たい成果が異なります。問題文のキーワードがどの対象と目的を指しているかを先に言語化しておくと、似た名称に惑わされにくくなります。

確認ポイント

• 問題文が求めている活動は、何を対象として行われるものかを自分の言葉で言い表せるか
• その活動の目的や、最終的に得たい成果が何かを整理できているか
• 検討中の規格の対象と目的が、上で整理した内容と本当に一致しているかを確かめたか

正解

ウ

解説

コモンクライテリア（CC）は、IT製品や情報システムに実装されたセキュリティ機能を評価するための国際標準であり、ISO/IEC 15408に対応する。ほかの選択肢は品質管理、環境マネジメント、情報セキュリティリスク管理を扱う。

理由

設問は、情報技術セキュリティ評価の国際標準であるコモンクライテリア（CC）を尋ねている。CCはIT製品やシステムのセキュリティ機能と保証の評価に関する基準で、ISO/IEC 15408として規格化されている。

比較

ISO 9001は品質マネジメントシステム、ISO 14004は環境マネジメントシステムの導入・改善に関する指針、ISO/IEC 27005は情報セキュリティリスクマネジメントを扱う。いずれもCCそのものではなく、対象と目的が異なる。

選択肢ア

これは不正解だよ。ISO 9001は、組織が製品やサービスの品質を安定して提供するための品質マネジメントシステムに関する要求事項を定める規格である。IT製品のセキュリティ機能や保証度を評価するコモンクライテリアの規格ではない。

選択肢イ

これは不正解だよ。ISO 14004は、環境マネジメントシステムを組織に導入し、運用や継続的改善を進めるための一般的な指針を扱う。情報技術のセキュリティ評価を定める規格ではなく、設問の対象とは異なる。

選択肢ウ（正解）

これは正解だよ。ISO/IEC 15408は、IT製品や情報システムのセキュリティ機能と、その実装に対する保証を評価するための基準である。国際的にコモンクライテリア（CC）と呼ばれる情報技術セキュリティ評価の標準に該当する。

選択肢エ

これは不正解だよ。ISO/IEC 27005は、情報セキュリティに関するリスクを特定、分析、評価し、対応するためのリスクマネジメントの指針を扱う。IT製品そのもののセキュリティ機能を評価するCCとは目的と対象が異なる。

学習のポイント

規格番号を暗記するだけでなく、各規格が扱う管理対象と評価対象の違いを整理する。