ITセキュリティ評価及び認証制度｜情報処理安全確保支援士 平成27年 秋期午前Ⅱ試験 問6
出典：平成27年秋期 午前Ⅱ 問6
分野：セキュリティ ／ セキュリティ技術評価
ISO/IEC 15408を評価基準とする"ITセキュリティ評価及び認証制度"の説明として，適切なものはどれか。
- ア：暗号モジュールに暗号アルゴリズムが適切に実装され，暗号鍵などが確実に保護されているかどうかを評価及び認証する制度
- イ：主に無線LANにおいて，RADIUSなどと連携することで，認証されていない利用者を全て排除し，認証された利用者だけの通信を通過させることを評価及び認証する制度
- ウ：情報技術に関連した製品のセキュリティ機能の適切性，確実性を第三者機関が評価し，その結果を公的に認証する制度
- エ：情報セキュリティマネジメントシステムが，基準にのっとり，適切に組織内に構築，運用されていることを評価及び認証する制度
TSUNAGARU-ADVICE
まず押さえたいこと
ISO/IEC 15408は、IT製品やシステムのセキュリティ機能について、その適切性や実装の確実性を評価するための国際規格です。第三者機関が評価を行い、その結果を認証する仕組みで、製品・システムそのもののセキュリティ機能を評価する点が特徴です。
迷ったときの判断軸
暗号モジュールの実装や鍵保護を評価する制度は暗号モジュール評価制度、無線LANの利用者認証はIEEE 802.1Xなどに関係します。また、ISMSの構築・運用を評価するのはISO/IEC 27001に基づく認証制度です。ISO/IEC 15408は、IT製品・システムのセキュリティ機能を第三者が評価すると整理しましょう。
科目Bにつなげるために
ISO/IEC 15408そのものは、支援士試験の科目Bで中心的に問われる可能性は高くありません。科目AでISO/IEC 27001や暗号モジュール評価制度との違いを整理したら、科目B対策では、脅威・脆弱性・リスク・管理策・ログ分析・インシデント対応など、セキュリティ分野の重要論点を優先して深掘りしましょう。
ISO/IEC 15408は、IT製品やITシステムのセキュリティ機能について、その機能が適切に設計・実装されているかを評価するための国際規格です。Common Criteria（CC）とも呼ばれます。
日本の「ITセキュリティ評価及び認証制度」では、このISO/IEC 15408に基づいて、情報技術に関連する製品などのセキュリティ機能や、その実装の確実性を第三者機関が評価し、その評価結果を公的に認証します。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：暗号モジュールに暗号アルゴリズムが適切に実装され，暗号鍵などが確実に保護されているかどうかを評価及び認証する制度
⇒暗号モジュールの安全性を評価・試験する制度に関する説明です。ISO/IEC 15408は暗号モジュールだけを対象とする規格ではなく、IT製品などのセキュリティ機能を幅広く評価します。
イ：主に無線LANにおいて，RADIUSなどと連携することで，認証されていない利用者を全て排除し，認証された利用者だけの通信を通過させることを評価及び認証する制度
⇒IEEE 802.1Xなどのネットワークアクセス制御に関する説明です。ISO/IEC 15408に基づくITセキュリティ評価及び認証制度そのものの説明ではありません。
エ：情報セキュリティマネジメントシステムが，基準にのっとり，適切に組織内に構築，運用されていることを評価及び認証する制度
⇒ISMS認証制度に関する説明です。ISMSは組織の情報セキュリティマネジメントの仕組みを評価する制度であり、IT製品のセキュリティ機能を評価するISO/IEC 15408とは対象が異なります。