コモンクライテリア（CC）

Common Criteria

こもんくらいてりあ

IT製品やシステムのセキュリティ機能を評価するための国際標準規格（ISO/IEC 15408）。EAL（Evaluation Assurance Level）1〜7の保証レベルで評価し、ST（セキュリティターゲット）やPP（プロテクションプロファイル）を用いてセキュリティ要件を定義する。

情報システムの企画・設計・開発・運用でのセキュリティ確保の推進又は支援に関すること > 製品・サービスのセキュアな導入

関連キーワードの用語

組織の情報セキュリティを管理するための仕組み。ISO/IEC 27001（JIS Q 27001）に基づき、リスクアセスメントを行い、適切な管理策を選定・実施・運用・監視・改善するPDCAサイクルを回す。ISMS適合性評価制度により第三者認証を受けることができる。

米国NISTが策定した暗号モジュールのセキュリティ要求事項に関する規格。暗号アルゴリズムの実装、鍵管理、物理的セキュリティなどを規定し、レベル1〜4の4段階でセキュリティ強度を評価する。IT製品の暗号機能の信頼性を保証するために使用される。

異なるインターネットドメイン間でセキュリティ情報を共有してシングルサインオンを実現するための、XMLベースの標準規格。IdP（Identity Provider）とSP（Service Provider）間で認証情報や属性情報をやり取りする。

パスワードに依存しないオンライン認証の標準規格。公開鍵暗号方式を用いて、デバイス上の生体認証やPINで本人確認を行い、秘密鍵で署名したアサーションをサーバ側の公開鍵で検証する。フィッシング耐性が高く、パスキーの基盤技術として普及が進む。

経営陣が主導して、組織全体の情報セキュリティ活動を統治・管理するための枠組み。経営戦略と整合した情報セキュリティ方針の策定、資源配分、リスク管理の意思決定を含む。JIS Q 27014（ISO/IEC 27014）で規定されている。

ISMSの要求事項を規定する国際規格。組織がISMSを確立、実施、維持、継続的に改善するための要求事項を定める。日本ではJIS Q 27001として翻訳規格が発行されており、ISMS認証の基準となる。