IT製品の調達におけるセキュリティ要件リスト

経済産業省が公表している、政府機関などがIT製品を調達する際に求めるべきセキュリティ要件をまとめたリスト。ファイアウォールやデジタル複合機などの製品分野ごとに、想定する脅威と、ISO/IEC 15408（コモンクライテリア）に基づく要件を示し、第三者の認証を受けた製品を選びやすくする。

経済産業省が公表している、政府機関などがIT製品を調達する際に求めるべきセキュリティ要件をまとめたリスト。ファイアウォールやデジタル複合機などの製品の分野ごとに、想定する脅威と、ISO/IEC 15408（コモンクライテリア）に基づく認証を取得した製品であることなどの要件を示す。

政府機関がIT製品を調達するときに、製品分野ごとに求めるセキュリティ要件をまとめたリスト。経済産業省が公表し、デジタル複合機、ファイアウォール、IDS/IPS、サーバOSなどの分野について、ISO/IEC 15408（コモンクライテリア）に基づく要件と認証取得製品の活用を求めている。政府機関等の統一基準に基づいて調達担当者が参照し、IPAが活用のためのガイドブックを提供している。

政府が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価・登録することによって、政府のクラウドサービス調達におけるセキュリティ水準の確保を図る制度。ISMAP-LIUはリスクの小さいSaaSサービスを対象とした制度。

IT製品やシステムのセキュリティ機能を評価するための国際標準規格（ISO/IEC 15408）。EAL（Evaluation Assurance Level）1〜7の保証レベルで評価し、ST（セキュリティターゲット）やPP（プロテクションプロファイル）を用いてセキュリティ要件を定義する。

米国NISTが策定した暗号モジュールのセキュリティ要求事項に関する規格。暗号アルゴリズムの実装、鍵管理、物理的セキュリティなどを規定し、レベル1〜4の4段階でセキュリティ強度を評価する。IT製品の暗号機能の信頼性を保証するために使用される。現行版はFIPS 140-3。

攻撃者の視点でシステムに対して実際に攻撃を試み、セキュリティ上の弱点を発見するテスト手法。ネットワーク、Webアプリケーション、IoT機器などを対象に、脆弱性の悪用可能性や侵入の影響範囲を検証する。脆弱性診断より実践的な評価が得られる。

脆弱性の深刻度を0.0〜10.0のスコアで定量的に評価するための国際的な基準。基本評価基準（脆弱性の技術的特性）、現状評価基準（攻撃コードの有無等）、環境評価基準（組織固有の影響）の3つの評価基準から構成される。

Open CSIRT Foundationが開発した、組織のセキュリティインシデント管理の成熟度を評価するモデル。組織・人材・ツール・プロセスの4つのカテゴリでCSIRTの能力を評価し、改善すべき領域を特定する。