IT製品の調達におけるセキュリティ要件リスト

経済産業省が公表している、政府機関などがIT製品を調達する際に求めるべきセキュリティ要件をまとめたリスト。ファイアウォールやデジタル複合機などの製品分野ごとに、想定する脅威と、ISO/IEC 15408（コモンクライテリア）に基づく要件を示し、第三者の認証を受けた製品を選びやすくする。

経済産業省とIPAが公表する、製品分野ごとに調達時へ盛り込むべきセキュリティ要件をまとめた文書。ISO/IEC 15408のプロテクションプロファイルを基に、調達仕様書へそのまま引用できる形で整理されている。

政府機関がIT製品を調達するときに、製品分野ごとに求めるセキュリティ要件をまとめたリスト。経済産業省が公表し、デジタル複合機、ファイアウォール、IDS/IPS、サーバOSなどの分野について、ISO/IEC 15408（コモンクライテリア）に基づく要件と認証取得製品の活用を求めている。政府機関等の統一基準に基づいて調達担当者が参照し、IPAが活用のためのガイドブックを提供している。

IT製品やシステムのセキュリティ機能を評価するための国際標準で、ISO/IEC 15408として規格化されている。製品が満たすべきセキュリティ要件をセキュリティターゲット（ST）に記述し、第三者の評価機関がその実装を、評価保証レベル（EAL）に応じた深さで検証する。評価の方法はISO/IEC 18045で定められ、日本ではJISECの下で評価・認証が行われる。

コモンクライテリアで、セキュリティ評価をどれだけ厳密に行ったかを示す7段階の水準。EAL1（機能テスト）からEAL7（形式的に検証された設計及びテスト）まであり、数字が大きいほど設計文書の分析やテストの範囲が広く深い。セキュリティ機能の強さではなく、評価による保証の度合いを表す点に注意する。

ISO/IEC 15408（コモンクライテリア）で、評価の対象の製品が備えるべきセキュリティの機能を表す要件。識別と認証、アクセス制御、暗号、監査などの機能を規格のカタログから選んで、セキュリティターゲットに記述する。その機能が正しく作られていることの確からしさを示すセキュリティ保証要件と対になる。

ISO/IEC 15408（コモンクライテリア）で、製品のセキュリティ機能が正しく設計・実装され、有効に働くことの確からしさ（保証）を得るための要件。開発の文書、テスト、脆弱性の評価などの要求からなり、その組合せの水準を評価保証レベル（EAL1〜EAL7）として示す。