平成30年度 秋期 午前Ⅱ 問24

✓ これが正解ウISO/IEC 15408

解説

コモンクライテリアと呼ばれる国際標準は ISO/IEC 15408 です。

ISO/IEC 15408 は、IT製品やシステムのセキュリティ機能と、それが正しく作られていることの保証を評価するための国際標準で、コモンクライテリア（CC）と呼ばれます。評価の対象が満たすべきセキュリティ要件をあらかじめ定め、それに沿って第三者が評価し、評価保証レベル（EAL）によって保証の度合いを示します。製品のセキュリティ評価という目的と、規格番号を組で押さえることが大切です。覚え方としては、15408 とコモンクライテリアを組にし、品質、環境、情報セキュリティのリスクを扱うマネジメント系の規格番号と区別して押さえます。

ほかの選択肢はなぜ違うのか

• アISO 9001：ISO 9001 は、品質マネジメントシステムの要求事項を定めた規格です。組織が製品やサービスの品質を管理する仕組みを対象とし、IT製品のセキュリティ機能を評価する規格ではありません。
• イISO 14004：ISO 14004 は、環境マネジメントシステムの導入や運用についての指針を示す規格です。環境への取組みを対象とするもので、情報技術のセキュリティを評価するための基準ではありません。
• エISO/IEC 27005：ISO/IEC 27005 は、情報セキュリティのリスクマネジメントについての指針を示す規格です。組織のリスクの扱い方を対象とするもので、製品のセキュリティ機能を評価するコモンクライテリアとは別の規格です。