コモンクライテリア（ISO/IEC 15408）とJISECとは？こもんくらいてりあ
コモンクライテリア（ISO/IEC 15408）とJISECとは、評価対象（TOE）が何をどこまで守るのかを開発者自身が記述し、それを第三者に検証させるための共通の言語と手続きを定めた規格。守る資産と想定脅威を書くセキュリティターゲット（ST）、製品分野ごとの要求をまとめたプロテクションプロファイル（PP）、検証の厳密さを表すEAL1〜7が骨格になる。JISECはIPAが運営する日本の評価・認証制度。
最終更新：2026-10-06
この語が出る過去問を解く →背景
安全な製品という主張は、何を前提にどの脅威から守るのかを書かなければ比較も調達もできない。かつては米国のTCSEC、欧州のITSECなど基準が国ごとに分かれ、同じ製品を各国で評価し直す負担があった。CCは記述の枠組みを統一し、CCRA（相互承認取決め）でその重複を無くした。システムアーキテクトでは、調達要件にPP準拠や認証取得済みを書ける根拠として押さえる。
具体例
政府調達で使われるデジタル複合機は、分野ごとのPPに沿って認証を取得している。マイナンバーカードのICチップやOSなども取得例があり、JISECは認証済み製品の一覧を公開しているため、調達仕様書から参照できる。
試験での引っ掛け
ISMS（ISO/IEC 27001）と取り違えやすい。評価の対象がIT製品・システムなのか、それとも組織の管理体制なのかで分かれる。またEALが表すのは検証の厳密さ（保証）であって、備えるセキュリティ機能の強さではないため、EALが高い製品ほど安全だとは言えない。守る対象と想定脅威はSTごとに違うので、EALの数字だけの比較も成り立たない。
関連用語
出た過去問
出典：平成30年度 秋期 システムアーキテクト試験 午前Ⅱ 問24（IPA）
情報技術セキュリティ評価のための国際標準であり、コモンクライテリア（CC）と呼ばれるものはどれか。
正解：ISO/IEC 15408
要点：コモンクライテリアはISO/IEC 15408のセキュリティ評価基準
ISO/IEC 15408は、IT製品やシステムのセキュリティ機能とその保証レベルを共通の基準で評価するための国際規格で、コモンクライテリア（CC）と呼ばれる。保護プロファイル（PP）やセキュリティターゲット（ST）に基づき、EAL1〜EAL7の評価保証レベルで評価される。
出典：令和6年度 春期 システムアーキテクト試験 午前Ⅱ 問20（IPA）
日本の IT セキュリティ評価及び認証制度（JISEC）に関する記述のうち、適切なものはどれか。
正解：保護するべき資産、対抗すべき脅威、適用すべき環境が具体化できる IT 製品だけが制度の対象である。
要点：JISECは資産・脅威・環境を具体化できるIT製品が評価対象
JISECは、ISO/IEC 15408（コモンクライテリア）に基づいてIT製品のセキュリティ機能を評価・認証する制度である。評価は、守るべき資産・想定する脅威・利用環境を明確にしたセキュリティターゲットを前提に行われるため、これらを具体化できる製品が対象となる。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。