令和4年度 秋期 午前Ⅱ 問9

✓ これが正解アISO/IEC 15408

解説

IT製品やシステムのセキュリティ評価の規格はISO/IEC 15408です。

ISO/IEC 15408 は、IT 製品やシステムのセキュリティ機能と、その作り込みの確かさを評価するための国際規格で、コモンクライテリアとも呼ばれます。共通の基準で評価するので、別々の評価機関が出した結果でも比べることができます。調達する側は、その評価結果を見て、製品が求めるセキュリティレベルに届いているかを判断できます。この問の手掛かりは、評価の対象が組織ではなく製品やシステムである点です。組織の情報セキュリティ管理を扱う規格群とは、ここで区別できます。

ほかの選択肢はなぜ違うのか

• イISO/IEC 27002：ISO/IEC 27002 は、組織が情報セキュリティの管理策を選び、実施するための手引となる規格です。組織の管理の進め方を扱うもので、IT 製品やシステムを評価して結果を比較できるようにするための規格ではありません。
• ウISO/IEC 27017：ISO/IEC 27017 は、クラウドサービスを提供する側と利用する側のための情報セキュリティ管理策の手引です。クラウドに特有の管理策を補う規格であり、製品の評価結果を調達者が比べるための規格とは目的が違います。
• エISO/IEC 30147：ISO/IEC 30147 は、IoT システムのライフサイクルに信頼性を組み込むための規格です。システムを作り運用する過程の進め方を扱うもので、独立した評価結果どうしを比べられるようにする規格ではありません。