令和6年度 春期 午前Ⅱ 問20

✓ これが正解エ保護するべき資産，対抗すべき脅威，適用すべき環境が具体化できる IT 製品だけが制度の対象である。

解説

守る資産・脅威・環境を具体化できる IT 製品が JISEC の対象です。

JISEC は、IT 製品のセキュリティ機能が適切に設計・実装されているかを、国際標準の ISO/IEC 15408 に基づいて第三者が評価し、認証する日本の制度です。評価では、製品がどんな資産を、どんな脅威から、どんな環境で守るのかをまとめた文書を基準にして、セキュリティ機能を確かめます。そのため、保護する資産、対抗すべき脅威、想定する運用環境を具体的に定められる製品が対象になります。見分ける軸は、対象を狭く限定していないかです。製品の種類をソフトウェアだけに絞ったり、セキュリティ専用製品だけに限ったり、ガイダンスを評価から外したりする記述は、制度の範囲を狭めています。何をどの脅威から守るかを書ける製品が対象、と押さえると選べます。

ほかの選択肢はなぜ違うのか

• アIT 製品のうち，利用者ガイダンス，管理…：評価の対象には、製品本体だけでなく、利用者ガイダンスや管理者ガイダンスも含まれます。ガイダンスに沿って正しく設定・運用されることも安全性の前提になるため、これらを評価用提供物件から外すという記述は誤りです。
• イハードウェア，ファームウェア，システムは…：JISEC の対象はソフトウェアに限られず、ハードウェアやファームウェアを含む IT 製品も評価を受けられます。ソフトウェアだけが対象とする記述は、制度の範囲を不当に狭めています。
• ウファイアウォールのように，セキュリティ機…：ファイアウォールのようなセキュリティ専用の製品だけでなく、複合機や OS など、セキュリティ機能を備えたさまざまな IT 製品も対象になります。専用製品に限るという記述は誤りです。