セキュリティ評価基準であるISO/IEC 15408の説明はどれか。

選択肢

• アIT製品のセキュリティ機能を，IT製品の仕様書，ガイダンス，開発プロセスなどの様々な視点から評価するための国際規格である。
• イIT製品やシステムを利用する要員に対するセキュリティ教育やセキュリティ監査の実施といった，組織でのセキュリティ管理を評価するための国際規格である。
• ウ暗号モジュールに暗号アルゴリズムが適切に実装されているかどうかを評価するための国際規格である。
• エ評価保証レベル（Evaluation Assurance Level：EAL）の要件に基づいて，セキュリティ機能の強度を評価するための国際規格である。

正解と解説

正解：ア IT製品のセキュリティ機能を，IT製品の仕様書，ガイダンス，開発プロセスなどの様々な視点から評価するための国際規格である。

ISO/IEC 15408はコモンクライテリアとも呼ばれ、IT製品やシステムのセキュリティ機能を、仕様書・ガイダンス・開発プロセスといった多面的な視点から評価するための国際規格である。評価保証レベル（EAL）は、その評価がどれだけ厳密に行われたかという保証の度合いを表すもので、セキュリティ機能そのものの強さを示す指標ではない。

選択肢ごとの解説

• ア正しい。仕様書や開発プロセスなど多面的にセキュリティ機能を評価する規格。
• イ組織のセキュリティ管理を対象とする規格（ISO/IEC 27001など）の説明。
• ウ暗号モジュールの実装を評価する規格（FIPS 140など）の説明。
• エEALは保証の度合いを表す尺度であり、セキュリティ機能の強度を評価するものではない。

同じ分野の他の問題

• 外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてデジタルフォレンジックスを行うことになった…2025年度 秋期 午前II 問25
• 多要素認証疲労攻撃の例はどれか。2025年度 秋期 午前II 問23
• 公開された実証コード（PoC：Proof of Concept）を使って、インターネットからWebサーバを狙う攻撃がある…2024年度 秋期 午前II 問25
• JPCERTコーディネーションセンター“CSIRTガイド”におけるインシデントマネジメントの業務のうち、インシデントハン…2024年度 秋期 午前II 問24
• 複数のシステムやサービスの間で利用されるSAMLはどれか。2024年度 秋期 午前II 問23