EDSA認証｜情報処理安全確保支援士 平成30年 秋期午前Ⅱ試験 問8
出典：平成30年秋期 午前Ⅱ 問8
分野：セキュリティ ／ セキュリティ技術評価
EDSA認証における評価対象と評価項目について，適切な組みはどれか。
| 評価対象 | 評価項目 | |
| ア | 組込み機器である制御機器 | 組込み機器ロバストネス試験 |
| イ | 組込み機器である制御機器が運用されている施設 | 入退室管理の評価 |
| ウ | 複数の制御機器から構成される制御システム | 脆弱性試験 |
| エ | 複数の制御機器から構成される制御システムを管理する組織 | セキュリティポリシの評価 |
- ア：
- イ：
- ウ：
- エ：
TSUNAGARU-ADVICE
まず押さえたいこと
EDSA認証は、制御システムで使われる組込み機器である制御機器を対象に、セキュリティ機能や開発プロセス、ロバストネスなどを評価する認証です。問題では、評価対象が組込み機器である制御機器であり、評価項目が組込み機器ロバストネス試験である組合せを押さえます。
迷ったときの判断軸
施設の入退室管理や、組織のセキュリティポリシ評価は、制御機器そのものを評価するEDSAの中心とはずれます。また、複数機器から成る制御システム全体を対象にする説明も、EDSAの評価対象としては広すぎます。EDSAは、制御システムを構成する個々の組込み機器を評価するものと判断しましょう。
科目Bにつなげるために
科目Bでは、工場や重要インフラなどの制御システムにおける、機器の脆弱性・ネットワーク分離・遠隔保守・認証・パッチ適用などが問われることがあります。EDSAは、制御機器を導入する前に、機器自体が想定外入力や不正通信にどれだけ耐えられるかを評価する視点として整理しておきましょう。
EDSAは、Embedded Device Security Assuranceの略で、制御システムで使用される組込み機器のセキュリティを評価・認証する制度です。
評価対象は、PLCや制御装置などの組込み機器であり、評価項目には、異常な通信データなどを入力した際にも適切に動作できるかを確認する組込み機器ロバストネス試験が含まれます。EDSA認証は、施設や組織、複数機器で構成されるシステム全体ではなく、個々の組込み機器を対象とします。
したがって、アが適切です。
❌他選択肢が誤りの理由イ：組込み機器である制御機器が運用されている施設／入退室管理の評価
⇒施設の物理的セキュリティに関する評価です。EDSA認証は、制御機器が設置された施設の入退室管理ではなく、組込み機器そのもののセキュリティを評価します。
ウ：複数の制御機器から構成される制御システム／脆弱性試験
⇒複数の機器から構成される制御システム全体は、SSAなどのシステムを対象とする認証に対応します。EDSAは、システムを構成する個々の組込み機器を評価対象とします。
エ：複数の制御機器から構成される制御システムを管理する組織／セキュリティポリシの評価
⇒組織の管理体制やセキュリティポリシを主な対象とする評価ではありません。EDSAは、組織ではなく、制御システムで使用される組込み機器のセキュリティ機能や堅ろう性などを評価する認証です。