IT製品の調達におけるセキュリティ要件リスト
Security Requirements List for IT Product Procurement
あいてぃーせいひんのちょうたつにおけるせきゅりてぃようけんりすと
政府機関がIT製品を調達するときに、製品分野ごとに求めるセキュリティ要件をまとめたリスト。経済産業省が公表し、デジタル複合機、ファイアウォール、IDS/IPS、サーバOSなどの分野について、ISO/IEC 15408（コモンクライテリア）に基づく要件と認証取得製品の活用を求めている。政府機関等の統一基準に基づいて調達担当者が参照し、IPAが活用のためのガイドブックを提供している。
Related
他の資格での定義
経済産業省が公表している、政府機関などがIT製品を調達する際に求めるべきセキュリティ要件をまとめたリスト。ファイアウォールやデジタル複合機などの製品分野ごとに、想定する脅威と、ISO/IEC 15408（コモンクライテリア）に基づく要件を示し、第三者の認証を受けた製品を選びやすくする。
経済産業省とIPAが公表する、製品分野ごとに調達時へ盛り込むべきセキュリティ要件をまとめた文書。ISO/IEC 15408のプロテクションプロファイルを基に、調達仕様書へそのまま引用できる形で整理されている。
経済産業省が公表している、政府機関などがIT製品を調達する際に求めるべきセキュリティ要件をまとめたリスト。ファイアウォールやデジタル複合機などの製品の分野ごとに、想定する脅威と、ISO/IEC 15408（コモンクライテリア）に基づく認証を取得した製品であることなどの要件を示す。
Related
関連キーワードの用語
コモンクライテリアで、セキュリティ評価をどれだけ厳密に行ったかを示す7段階の水準。EAL1（機能テスト）からEAL7（形式的に検証された設計及びテスト）まであり、数字が大きいほど設計文書の分析やテストの範囲が広く深い。セキュリティ機能の強さではなく、評価による保証の度合いを表す点に注意する。
IT製品やシステムのセキュリティ機能を評価するための国際標準で、ISO/IEC 15408として規格化されている。製品が満たすべきセキュリティ要件をセキュリティターゲット（ST）に記述し、第三者の評価機関がその実装を、評価保証レベル（EAL）に応じた深さで検証する。評価の方法はISO/IEC 18045で定められ、日本ではJISECの下で評価・認証が行われる。
ISO/IEC 15408（コモンクライテリア）で、評価の対象の製品が備えるべきセキュリティの機能を表す要件。識別と認証、アクセス制御、暗号、監査などの機能を規格のカタログから選んで、セキュリティターゲットに記述する。その機能が正しく作られていることの確からしさを示すセキュリティ保証要件と対になる。
コモンクライテリア（ISO/IEC 15408）に基づいてIT製品のセキュリティを評価するときに、評価者が行う作業と判定の方法を定めた国際規格。共通評価方法（CEM）とも呼ばれ、評価機関ごとに評価のやり方がばらつかないよう、保証要件ごとの評価手順を示している。ISO/IEC 15408が「何を評価するか」を、ISO/IEC 18045が「どう評価するか」を定める関係にある。
IT製品のセキュリティ機能を、ISO/IEC 15408（コモンクライテリア）に基づいて第三者の評価機関が評価し、その結果をIPAが認証する日本の制度。国際的な相互承認の枠組み（CCRA）に参加しているため、取得した認証は加盟国の間で一定の範囲で相互に承認される。政府調達では、IT製品の調達におけるセキュリティ要件リストに基づいて認証取得製品が求められる。
ISO/IEC 15408（コモンクライテリア）で、製品のセキュリティ機能が正しく設計・実装され、有効に働くことの確からしさ（保証）を得るための要件。開発の文書、テスト、脆弱性の評価などの要求からなり、その組合せの水準を評価保証レベル（EAL1〜EAL7）として示す。