ISO/IEC 15408とは？あいえすおーあいいーしーいちまんごせんよんひゃくはち
ISO/IEC 15408とは、IT製品やシステムのセキュリティ機能と、その主張がどこまで検証されたかを共通の物差しで評価するための国際規格で、コモンクライテリア（CC）とも呼ぶ。開発者は製品ごとにセキュリティターゲット（ST）を、製品分野ごとにはプロテクションプロファイル（PP）を定め、保証の水準をEAL1〜EAL7で表す。
最終更新：2026-10-06
この語が出る過去問を解く →背景
調達する側は製品の説明書を読んでも、その安全性の主張が確かめられたものかどうか判断できなかった。国ごとに評価制度が分かれていた時期には、同じ製品を輸出先の数だけ評価し直す負担もあった。共通の基準と相互承認の枠組みを置き、一度の評価を各国が受け入れられるようにしたのがCCで、日本ではIPAのJISECが認証を運用している。
具体例
官公庁向けのICカードリーダの調達仕様がEAL4以上を求めたため、分野共通のPPに合わせてSTを作り、評価はISO/IEC 18045（CEM）に沿って評価機関が実施した。認証には期間と費用がかかるので製品計画へ織り込む。
試験での引っ掛け
EALが高い＝セキュリティ機能が多い、ではない。EALは主張どおりであることの検証がどれだけ厳密かを表す指標で、何を守るかはSTが決める。組織のマネジメントを認証するISMS（ISO/IEC 27001）に対し、こちらは製品を評価するという対象の違いも問われる。
関連用語
出た過去問
出典：令和4年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問9（IPA）
IT製品及びシステムが,必要なセキュリティレベルを満たしているかどうかについて,調達者が判断する際に役立つ評価結果を提供し,独立したセキュリティ評価結果間の比較…
正解：ISO/IEC 15408
要点：ISO/IEC 15408は製品のセキュリティ評価を比較可能にする
ISO/IEC 15408はコモンクライテリアと呼ばれ、IT製品やシステムのセキュリティ機能とその保証の度合いを、共通の尺度で評価するための規格である。守るべき要件をプロテクションプロファイルやセキュリティターゲットとして記述し、EAL（評価保証レベル）で保証の水準を表すため、異なる評価結果どうしを比較でき、調達時の判断材料になる。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。