PD-Sセキュリティ実装技術・評価 · セキュリティ評価基準

セキュリティ保証要件

Security Assurance Requirements

せきゅりてぃほしょうようけん

ISO/IEC 15408（コモンクライテリア）で、製品のセキュリティ機能が正しく設計・実装され、有効に働くことの確からしさ（保証）を得るための要件。開発の文書、テスト、脆弱性の評価などの要求からなり、その組合せの水準を評価保証レベル（EAL1〜EAL7）として示す。

#ISO/IEC 15408 #EAL #セキュリティ機能要件

共有:

他の資格での定義

APセキュリティ保証要件

ISO/IEC 15408において、セキュリティ機能が正しく設計・実装されていることをどこまで確認するかを規定した要件。設計文書の詳しさやテスト・脆弱性分析の深さを定め、その水準を段階化したものが評価保証レベル（EAL）である。

SCセキュリティ保証要件

ISO/IEC 15408において、評価対象が正しく設計・実装されていることをどの程度確認したかを規定する要件。開発文書、テスト、脆弱性評価などの厳格さの度合いを定め、EAL（評価保証レベル）として段階化される。

関連キーワードの用語

A-1コモンクライテリア（CC）

IT製品やシステムのセキュリティ機能を評価するための国際標準で、ISO/IEC 15408として規格化されている。製品が満たすべきセキュリティ要件をセキュリティターゲット（ST）に記述し、第三者の評価機関がその実装を、評価保証レベル（EAL）に応じた深さで検証する。評価の方法はISO/IEC 18045で定められ、日本ではJISECの下で評価・認証が行われる。

PD-Sセキュリティ機能要件

ISO/IEC 15408（コモンクライテリア）で、評価の対象の製品が備えるべきセキュリティの機能を表す要件。識別と認証、アクセス制御、暗号、監査などの機能を規格のカタログから選んで、セキュリティターゲットに記述する。その機能が正しく作られていることの確からしさを示すセキュリティ保証要件と対になる。

PD-SIT製品の調達におけるセキュリティ要件リスト

経済産業省が公表している、政府機関などがIT製品を調達する際に求めるべきセキュリティ要件をまとめたリスト。ファイアウォールやデジタル複合機などの製品の分野ごとに、想定する脅威と、ISO/IEC 15408（コモンクライテリア）に基づく認証を取得した製品であることなどの要件を示す。

A-1EAL（評価保証レベル）

コモンクライテリアで、セキュリティ評価をどれだけ厳密に行ったかを示す7段階の水準。EAL1（機能テスト）からEAL7（形式的に検証された設計及びテスト）まであり、数字が大きいほど設計文書の分析やテストの範囲が広く深い。セキュリティ機能の強さではなく、評価による保証の度合いを表す点に注意する。