IT製品及びシステムが,必要なセキュリティレベルを満たしているかどうかについて,調達者が判断する際に役立つ評価結果を提供し,独立したセキュリティ評価結果間の比較を可能にするための規格はどれか。

選択肢

• アISO/IEC 15408
• イISO/IEC 27002
• ウISO/IEC 27017
• エISO/IEC 30147

正解と解説

正解：ア ISO/IEC 15408

ISO/IEC 15408はコモンクライテリアと呼ばれ、IT製品やシステムのセキュリティ機能とその保証の度合いを、共通の尺度で評価するための規格である。守るべき要件をプロテクションプロファイルやセキュリティターゲットとして記述し、EAL（評価保証レベル）で保証の水準を表すため、異なる評価結果どうしを比較でき、調達時の判断材料になる。

選択肢ごとの解説

• ア正しい。製品やシステムのセキュリティ評価を共通の基準で行い、結果を比較可能にする規格である。
• イ27002は情報セキュリティ管理策の実践規範であり、製品評価の規格ではない。
• ウ27017はクラウドサービス向けの管理策を示す規格である。
• エ30147はIoTシステムの信頼性確保に関する規格で、製品評価の共通基準ではない。

この問題に出た用語

• ISO/IEC 15408
• ISO/IEC 27017（クラウドサービスの情報セキュリティ）
• JIS Q 27002

同じ分野の他の問題

• “政府情報システムのためのセキュリティ評価制度（ISMAP）”の説明はどれか。2025年度 春期 午前Ⅱ 問11
• ISMAP-LIUクラウドサービス登録規則(令和6年3月1日最終改定)でのISMAP-LIUに関する記述として、適切なも…2024年度 春期 午前Ⅱ 問7
• 政府情報システムのためのセキュリティ評価制度に用いられる“ISMAP管理基準”が基礎としているものはどれか。2023年度 春期 午前Ⅱ 問8
• EDSA認証における評価対象と評価項目について,適切な組みはどれか。2018年度 秋期 午前Ⅱ 問8
• IoT機器のペネトレーションテスト(Penetration Test)の説明として,適切なものはどれか。2023年度 春期 午前Ⅱ 問22