コモンクライテリア
Common Criteria
こもんくらいてりあ
IT製品やシステムのセキュリティ機能を評価するための国際標準規格（ISO/IEC 15408）。評価保証レベル（EAL1〜EAL7）でセキュリティ機能の信頼度を段階的に評価する。セキュリティターゲット（ST）とプロテクションプロファイル（PP）で評価基準を定義する。
Related
他の資格での定義
情報セキュリティ製品の評価に関する国際規格（ISO/IEC 15408）。EAL（評価保証レベル）1〜7の7段階でセキュリティの保証レベルを定義する。セキュリティICや暗号モジュールの認証取得に使用される。
IT製品やシステムのセキュリティ機能を評価するための国際標準規格（ISO/IEC 15408）。EAL（Evaluation Assurance Level）1〜7の保証レベルで評価し、ST（セキュリティターゲット）やPP（プロテクションプロファイル）を用いてセキュリティ要件を定義する。
IT製品やシステムのセキュリティ機能を評価するための国際標準で、ISO/IEC 15408として規格化されている。製品が満たすべきセキュリティ要件をセキュリティターゲット（ST）に記述し、第三者の評価機関がその実装を、評価保証レベル（EAL）に応じた深さで検証する。評価の方法はISO/IEC 18045で定められ、日本ではJISECの下で評価・認証が行われる。
Past Exams
過去問での出題
過去問で 6 回出題（ITパスポート試験 2・応用情報技術者試験 2・情報セキュリティマネジメント試験 1・システムアーキテクト試験 1）
- 平成30年度 秋期 システムアーキテクト試験 午前Ⅱ 問24（IPA の PDF を新しいタブで開きます）
- 平成29年度 秋期 ITパスポート試験 問12正解の選択肢（IPA の PDF を新しいタブで開きます）
- 平成28年度 秋期 応用情報技術者試験 午前 問69（IPA の PDF を新しいタブで開きます）
- 平成28年度 秋期 情報セキュリティマネジメント試験 午前 問30（IPA の PDF を新しいタブで開きます）
- 平成25年度 春期 ITパスポート試験 問86選択肢（IPA の PDF を新しいタブで開きます）
- 平成24年度 春期 応用情報技術者試験 午前 問68（IPA の PDF を新しいタブで開きます）
出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。
Related
関連キーワードの用語
脆弱性の深刻度をベンダーに依存しない共通の基準で数値化する評価手法。攻撃の難易度などを表す基本評価基準、時間経過で変わる現状評価基準、利用環境を加味する環境評価基準の3つの尺度から0.0〜10.0のスコアを算出する。
個別の製品に見つかった脆弱性そのものに「CVE-西暦-連番」形式の一意な識別番号を付ける仕組み。同じ脆弱性を各社が別名で呼ぶ混乱を避け、脆弱性情報データベースや診断ツールの間で情報を突き合わせられるようにする。
バッファオーバーフローやクロスサイトスクリプティングなど、脆弱性の「種類」を体系的に分類・列挙した一覧。個々の事象を識別するCVEに対し、原因となる作り込みのパターンを整理する点が異なり、セキュアプログラミングの指針に使われる。
システムやアプリケーションを検査し、既知の脆弱性や設定不備が存在しないかを網羅的に洗い出す活動。ツールによる自動スキャンと技術者による手動診断があり、結果はCVSSなどで深刻度を付けて対策の優先順位付けに用いる。
攻撃者と同じ手口で実際に侵入を試み、システムの防御が突破できるかを検証するテスト。脆弱性を網羅的に列挙する脆弱性診断と異なり、侵入経路をつないで目的の資産に到達できるかという実効性を確かめる点に主眼がある。
自社製品やサービスの脆弱性を発見して報告した外部の研究者に、内容に応じた報奨金を支払う制度。社外の多様な視点を活用して発見機会を増やすとともに、脆弱性情報が闇市場に流れる前に届け出させる狙いがある。