日本の IT セキュリティ評価及び認証制度（JISEC）に関する記述のうち、適切なものはどれか。

選択肢

• アIT 製品のうち、利用者ガイダンス、管理者ガイダンスを除いた部分だけが評価用提供物件である。
• イハードウェア、ファームウェア、システムは制度の対象外であり、ソフトウェアだけが対象である。
• ウファイアウォールのように、セキュリティ機能に特化した IT 製品だけが制度の対象である。
• エ保護するべき資産、対抗すべき脅威、適用すべき環境が具体化できる IT 製品だけが制度の対象である。

正解と解説

正解：エ 保護するべき資産、対抗すべき脅威、適用すべき環境が具体化できる IT 製品だけが制度の対象である。

JISECは、ISO/IEC 15408（コモンクライテリア）に基づいてIT製品のセキュリティ機能を評価・認証する制度である。評価は、守るべき資産・想定する脅威・利用環境を明確にしたセキュリティターゲットを前提に行われるため、これらを具体化できる製品が対象となる。

選択肢ごとの解説

• ア利用者ガイダンスや管理者ガイダンスも評価用提供物件に含まれる。
• イソフトウェアに限らず、ハードウェアやファームウェア、システムも対象となり得る。
• ウセキュリティ機能に特化した製品に限らず、複合機やICカードなど一般のIT製品も対象になる。
• エ正しい。資産・脅威・環境を具体化できる製品が制度の対象である。

同じ分野の他の問題

• CRYPTRECの役割として、適切なものはどれか。2022年度 春期 午前II 問19
• 情報技術セキュリティ評価のための国際標準であり、コモンクライテリア（CC）と呼ばれるものはどれか。2018年度 秋期 午前II 問24
• ある企業でのリスク分析結果は次のとおりであった。情報漏えい対策のうち，事象Cの年間発生確率が最も低くなるものはどれか。こ…2025年度 春期 午前II 問17
• A社は，各種のサービスを複数のWebサイトで提供している。現在，利用者は，Webサイトにログインするたびに，そのサイト用…2025年度 春期 午前II 問3
• デジタル証明書が失効しているかどうかをオンラインで確認するためのプロトコルはどれか。2024年度 春期 午前II 問19