令和4年度秋期 情報処理安全確保支援士 午前Ⅱ 問9

午前II 問09：ISO/IEC 15408は“セキュリティ製品の性能チェック表”だよ

ISO/IEC 15408はCommon Criteriaとも呼ばれる国際規格だよ。ざっくり言うと、IT製品やシステムのセキュリティ機能を、同じものさしで評価して比べられるようにするためのルールなんだ。たとえば、金庫を買うときに「どれくらい頑丈か」を共通の基準で確認できると選びやすいよね。それと同じで、セキュリティ製品やシステムがどの程度の安全機能を備えているかを評価するための規格だよ。

この問題で問われていること

この問題では、ISO/IEC 15408を“組織の情報セキュリティ管理策を決める規格”と勘違いしないことがポイントだよ。15408は管理体制そのものではなく、IT製品やシステムのセキュリティ機能を評価するための規格だと押さえよう。

ISO/IEC 15408

製品評価結果を第三者が比較しやすい形で示し、調達判断に役立てる。

IT 製品のセキュリティ評価\n-> 比較可能な結果を提供

確認ポイント

• 27002 や 27017 は管理策ガイドです。
• 製品セキュリティ評価比較の規格は 15408 です。
• ISO/IEC 15408 を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これが正解だよ。ISO/IEC 15408は、IT製品やシステムのセキュリティ機能を同じものさしで評価するための規格なんだ。たとえるなら、金庫を買うときに『この金庫はどれくらい頑丈か』を第三者のチェック表で比べられるようにする感じだよ。調達者が評価結果を見比べて判断する、という問題文にぴったりだね。

選択肢イ

これは不正解だよ。ISO/IEC 27002は、組織が情報セキュリティ対策を進めるときの管理策の実践ガイドなんだ。たとえるなら、会社全体の『戸締まり、入退室、書類管理のルール集』みたいなもの。製品やシステムのセキュリティ性能を評価して、調達時に比較するための規格ではないよ。

選択肢ウ

これは不正解だよ。ISO/IEC 27017はクラウドサービス向けのセキュリティ管理策のガイドなんだ。たとえるなら、普通の防犯ルールに『レンタル倉庫を使うときは鍵の管理や責任分担も確認しよう』と追加するようなもの。IT製品そのものの安全性を評価して比較する規格ではないよ。

選択肢エ

これは不正解だよ。ISO/IEC 30147は、IoT製品やサービスの安全・安心に関する考え方の規格だよ。たとえるなら、スマート家電やネットにつながる機器を安全に使うための注意書きに近いんだ。今回聞かれている『IT製品のセキュリティ評価結果を比較できる規格』とは役割が違うよ。