令和6年度 春期 システムアーキテクト試験 午前Ⅱ 問20
テクノロジ／セキュリティ日本の IT セキュリティ評価及び認証制度（JISEC）に関する記述のうち，適切なものはどれか。
出典：令和6年度 春期 システムアーキテクト試験 午前Ⅱ 問20
- アIT 製品のうち，利用者ガイダンス，管理者ガイダンスを除いた部分だけが評価用提供物件である。
- イハードウェア，ファームウェア，システムは制度の対象外であり，ソフトウェアだけが対象である。
- ウファイアウォールのように，セキュリティ機能に特化した IT 製品だけが制度の対象である。
- エ保護するべき資産，対抗すべき脅威，適用すべき環境が具体化できる IT 製品だけが制度の対象である。
正解：エ
解説
JISEC（IT セキュリティ評価及び認証制度）は，ISO/IEC 15408に基づき，IT製品のセキュリティ機能の適切性・実装の正確性を第三者機関が評価・認証する制度です。評価対象は特定のセキュリティ機能に特化した製品に限らず，保護すべき資産，対抗すべき脅威，適用すべき環境（セキュリティターゲット）を具体化できるIT製品全般が対象となり，ハードウェア，ファームウェア，ソフトウェア，システムのいずれも対象になり得ます。
選択肢ごとの解説
- ア誤り。利用者ガイダンスや管理者ガイダンスも評価用提供物件に含まれます。
- イ誤り。ハードウェアやファームウェア，システムも制度の対象であり，ソフトウェアだけが対象ではありません。
- ウ誤り。ファイアウォールのようなセキュリティ機能特化製品に限らず，一般のIT製品も制度の対象となり得ます。
- エ正しい。保護するべき資産，対抗すべき脅威，適用すべき環境が具体化できるIT製品が，JISECの対象です。