ISO/IEC 15408（コモンクライテリア）とは？あいえすおーいちまんごせんよんひゃくはち
ISO/IEC 15408（コモンクライテリア）とは、IT製品やシステムのセキュリティ機能と、その実装が確かであることをどこまで検証したかを、国際共通の物差しで評価するための規格。評価保証レベルEAL1〜EAL7で表され、調達時に異なるベンダの製品を同じ土俵で比較できるようにする。何を守る製品として評価するのかは、セキュリティターゲットという文書で定義される。
最終更新：2026-10-06
この語が出る過去問を解く →背景
各国が独自の評価基準を持っていた時代は、ある国で認証された製品を別の国が改めて評価し直す必要があり、費用も期間も二重にかかっていた。相互承認できる共通基準として統合されたのがこの規格である。PMにとっては、調達仕様に「EALいくつ以上」と書ける根拠であり、ベンダ選定の客観性を説明するための材料になる。
具体例
国内ではIPAが運営するJISEC（ITセキュリティ評価及び認証制度）が認証機関を認定しており、事務機器メーカーの複合機やICカードが、指定された評価機関の検証を経て認証を取得している。
試験での引っ掛け
EALは強度ではなく検証の厳密さを表す。EAL4の製品がEAL2の製品より安全とは限らず、比較できるのは同じ機能要件を掲げた場合に限られる。またISO/IEC 27001が認証するのは組織のマネジメントシステムであり、こちらの評価対象は製品・システムそのもの。
関連用語
出た過去問
出典：令和5年度 秋期 プロジェクトマネージャ試験 午前Ⅱ 問23（IPA）
セキュリティ評価基準であるISO/IEC 15408の説明はどれか。
正解：IT製品のセキュリティ機能を，IT製品の仕様書，ガイダンス，開発プロセスなどの様々な視点から評価するための国際規格である。
要点：ISO/IEC 15408はIT製品のセキュリティ機能評価規格
ISO/IEC 15408はコモンクライテリアとも呼ばれ、IT製品やシステムのセキュリティ機能を、仕様書・ガイダンス・開発プロセスといった多面的な視点から評価するための国際規格である。評価保証レベル（EAL）は、その評価がどれだけ厳密に行われたかという保証の度合いを表すもので、セキュリティ機能そのものの強さを示す指標ではない。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。