平成27年度秋期 情報処理安全確保支援士 午前Ⅱ 問6

JTセキュリティ評価及び認証制度って何？

JT セキュリティ評価及び認証制度は、IT製品のセキュリティ機能がちゃんと作られていて、きちんと働くかを第三者がチェックして、公的にお墨付きを与える制度だよ。基準になっているのは ISO/IEC 15408、いわゆる Common Criteria（CC）なんだ。たとえるなら、防犯カメラや金庫が本当に安全かを、メーカー本人ではなく外部の専門家が検査して認定するようなものだよ。

この問題で問われていること

この問題では、『どの制度が CC（ISO/IEC 15408）に基づいてIT製品のセキュリティを評価・認証するものか』を見分けよう。FIPS 140-2 は暗号モジュール、ISMS認証は組織の情報セキュリティ管理、無線LAN認証は通信機器や接続性の話なので、JT セキュリティ評価及び認証制度とは目的が違うよ。

JT 制度の対象

対象は組織のマネジメントシステムではなく、ファイアウォールや IC カード製品のような IT 製品です。

IT 製品のセキュリティ機能\n第三者評価\n公的認証

確認ポイント

• 暗号モジュール評価限定の制度ではありません。
• ISMS の組織認証とも違う。
• IT 製品を第三者が評価・認証する説明を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。これは暗号モジュール試験及び認証制度、つまり暗号を扱う部品の安全性を見る制度の説明だね。たとえるなら、金庫全体ではなく、鍵穴や暗証番号装置がちゃんと安全に作られているかを調べるイメージだよ。IT製品全体のセキュリティ機能を評価する制度とは範囲が違うよ。

選択肢イ

これは不正解だよ。これは無線LANで使うIEEE 802.1X認証のような説明だね。たとえるなら、会社の入口で社員証を見せた人だけを通す仕組みの話であって、製品そのもののセキュリティ機能を第三者が評価・認証する制度の説明ではないよ。

選択肢ウ（正解）

これは正解だよ。ITセキュリティ評価及び認証制度の説明だね。たとえるなら、防犯カメラや金庫について「本当にカタログどおり泥棒対策できるの？」をメーカー本人ではなく第三者の検査機関がチェックして、公的にお墨付きを出す制度だよ。Common Criteria系の考え方で、IT製品のセキュリティ機能の適切性や確実性を評価・認証するものだよ。

選択肢エ

これは不正解だよ。これはISMS適合性評価制度の説明だね。たとえるなら、金庫そのものを検査するのではなく、会社全体で鍵の管理ルールや戸締まりの運用がきちんとできているかを見る制度だよ。問題の制度は、組織の管理体制ではなくIT製品のセキュリティ機能を評価するものだよ。