令和5年度 プロジェクトマネージャ試験 午前II 問23
セキュリティ評価基準であるISO/IEC 15408の説明はどれか。
- ア IT製品のセキュリティ機能を，IT製品の仕様書，ガイダンス，開発プロセスなどの様々な視点から評価するための国際規格である。
- イ IT製品やシステムを利用する要員に対するセキュリティ教育やセキュリティ監査の実施といった，組織でのセキュリティ管理を評価するための国際規格である。
- ウ 暗号モジュールに暗号アルゴリズムが適切に実装されているかどうかを評価するための国際規格である。
- エ 評価保証レベル（Evaluation Assurance Level：EAL）の要件に基づいて，セキュリティ機能の強度を評価するための国際規格である。
解答・解説を見る
正解：ア
AI解説
ISO/IEC 15408(コモンクライテリア:CC)は、IT製品や情報システムのセキュリティ機能が適切に設計・実装されているかを、仕様書、ガイダンス、開発プロセスなどの様々な視点から評価するための国際規格である。評価対象は製品・システムのセキュリティ機能であり、組織の管理体制ではない点が判断基準となる。 ア: 正しい。IT製品のセキュリティ機能を仕様書・ガイダンス・開発プロセスなどの視点から評価する、ISO/IEC 15408の説明である。 イ: 要員へのセキュリティ教育や監査など組織のセキュリティ管理を評価するのは、ISMS(ISO/IEC 27001など)の領域である。 ウ: 暗号モジュールへの暗号アルゴリズムの実装を評価するのは、ISO/IEC 19790(暗号モジュールのセキュリティ要求事項、FIPS 140に対応)である。 エ: EAL(評価保証レベル)は評価の厳密さ・保証の深さを示すレベルであり、セキュリティ機能の強度そのものを評価する基準ではないため、この記述は不正確である。 💡 「15408=製品・システムの機能評価(CC)」「27001=組織の管理(ISMS)」「19790=暗号モジュール」と番号と対象を対応付ける。EALは「機能の強さ」ではなく「保証(評価の深さ)」のレベルである点がひっかけどころ。
出典：令和5年度 秋期 プロジェクトマネージャ試験 午前II 問23 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。