令和5年度 秋期 プロジェクトマネージャ試験 午前Ⅱ 問23
テクノロジ／セキュリティセキュリティ評価基準である ISO/IEC 15408 の説明はどれか。
出典：令和5年度 秋期 プロジェクトマネージャ試験 午前Ⅱ 問23
- アIT 製品のセキュリティ機能を，IT 製品の仕様書，ガイダンス，開発プロセスなどの様々な視点から評価するための国際規格である。
- イIT 製品やシステムを利用する要員に対するセキュリティ教育やセキュリティ監査の実施といった，組織でのセキュリティ管理を評価するための国際規格である。
- ウ暗号モジュールに暗号アルゴリズムが適切に実装されているかどうかを評価するための国際規格である。
- エ評価保証レベル（Evaluation Assurance Level：EAL）の要件に基づいて，セキュリティ機能の強度を評価するための国際規格である。
正解：ア
解説
ISO/IEC 15408 は，一般に CC（コモンクライテリア）と呼ばれる IT セキュリティ評価基準の国際規格です。IT 製品やシステムのセキュリティ機能を，セキュリティターゲットなどの仕様書，利用者向けガイダンス，開発プロセスなど多面的な観点から評価します。日本では JIS X 5070 として規格化され，IT セキュリティ評価及び認証制度（JISEC）の基準になっています。
選択肢ごとの解説
- ア正しい。仕様書，ガイダンス，開発プロセスなど様々な視点から IT 製品のセキュリティ機能を評価するのが ISO/IEC 15408 です。
- イ誤り。組織におけるセキュリティ管理（教育や監査を含む）の枠組みを規定するのは，ISO/IEC 27001（JIS Q 27001）などの ISMS 関連規格です。
- ウ誤り。暗号モジュールの実装の適切さを評価する規格は ISO/IEC 19790（FIPS 140 に相当）です。
- エ誤り。EAL は評価の「保証（作り込みの確かさ）」の程度を表す尺度であり，セキュリティ機能の強度を表すものではありません。ISO/IEC 15408 は EAL によって保証レベルを示します。