EALとは？セキュリティ評価保証レベルをやさしく整理【SG試験】

まず結論

EALは、IT製品やITシステムのセキュリティ機能について、どの程度の深さで評価されたかを示す保証レベルです。

EALは、Evaluation Assurance Level の略で、日本語では評価保証レベルと呼ばれます。

SG試験では、EALを「製品の安全性そのものの強さ」と考えすぎないことが大切です。

EALは、ざっくりいうと次のような考え方です。

この製品は、どのくらい厳しく確認・評価されたのか

つまり、EALはセキュリティ機能の評価の深さ・保証の程度を示すものであり、製品を導入すれば必ず安全になることを保証するものではありません。

直感的な説明

EALは、製品のセキュリティ機能に対する検査の詳しさのレベルのようなものです。

たとえば、同じ「鍵付きの金庫」でも、次のように確認の深さには違いがあります。

見た目と説明書だけを確認する

鍵の構造や設計資料も確認する

実際に試験して、想定どおり守れるか確認する

開発過程や管理方法まで詳しく確認する

どこまで詳しく確認したかによって、安心材料の強さは変わります。

EALもこれに近く、IT製品やシステムについて、どの程度の厳しさで評価したかを段階で表します。

ただし、ここで注意したいのは、EALが高ければいつでも最適というわけではないことです。

製品を安全に使うには、評価レベルだけでなく、次のような点も重要です。

守りたい情報資産に合っているか

想定している脅威に合っているか

正しく設定できているか

運用中に監視・更新できているか

SG試験では、EALを「安全性ランキング」ではなく「評価の厳しさを示すレベル」として理解すると、選択肢を切りやすくなります。

定義・仕組み

EALは、ISO/IEC 15408で使われる評価保証レベルです。

ISO/IEC 15408は、IT製品やITシステムのセキュリティ機能を評価するための国際規格です。

EALは、その評価において、どの程度の保証を得るために評価したかを示します。

一般に、EALは EAL1からEAL7 までの段階で表されます。

レベルざっくりしたイメージ

EAL1 基本的な確認を行う EAL2 ある程度構造を確認する EAL3 開発過程も含めて確認する EAL4 設計・試験をより体系的に確認する EAL5 より高い保証を得るために詳しく確認する EAL6 高リスク環境を意識した厳しい評価 EAL7 形式的な検証も含む非常に厳しい評価

ただし、SG試験では、この表を細かく丸暗記する必要はあまりありません。

大切なのは、次の関係です。

用語役割

ISO/IEC 15408 IT製品・システムのセキュリティ評価基準 JISEC ISO/IEC 15408に基づく日本の評価・認証制度 EAL 評価の深さ・保証の程度を示すレベル

EALは、評価対象の製品やシステムについて、どれくらい厳密な評価が行われたかを示すものです。

そのため、EALを見れば、評価の深さの目安は分かります。

しかし、EALだけで次のことがすべて分かるわけではありません。

その製品が自社に最適か

すべての攻撃に耐えられるか

設定ミスがあっても安全か

運用管理が不要になるか

EALは、あくまで評価保証のレベルであり、現場でのリスク管理や運用管理と組み合わせて考える必要があります。

どんな場面で使う？

EALは、セキュリティ製品やシステムを調達・比較するときの判断材料になります。

たとえば、重要な情報を扱うシステムにセキュリティ製品を導入する場合、担当者は次のような点を確認したくなります。

第三者評価を受けているか

どの基準で評価されたか

どの程度の保証レベルで評価されたか

自社の情報資産やリスクに合っているか

このとき、EALは「評価の深さ」を見るための材料になります。

ただし、EALだけで製品を選ぶのは危険です。

たとえば、EALが高い製品でも、守りたい業務に合っていなければ適切とはいえません。

また、EALが高くても、設定を誤ったり、パッチ適用を怠ったりすれば、セキュリティ事故につながる可能性があります。

SG試験では、EALを製品選定時の判断材料の一つとして考えるとよいです。

選択肢では、次のような表現に注意します。

EALが高ければ、どの組織でも最適である

EALが高ければ、運用管理は不要である

EALは製品の評価の深さを示す

EALはISO/IEC 15408に関係する

この中で正しい方向に近いのは、評価の深さを示す、ISO/IEC 15408に関係するという説明です。

よくある誤解・混同

誤解1：EALは製品の安全性ランキングだと思う

EALは、単純な安全性ランキングではありません。

EALが高いほど、一般に評価は厳しくなります。

しかし、EALが高い製品が、すべての利用場面で一番安全・一番適切という意味ではありません。

大切なのは、利用目的やリスクに合った製品かです。

SG試験では、「EALが高いほど必ず安全」といった強すぎる表現が出たら注意しましょう。

誤解2：EALがあれば運用管理は不要だと思う

EALは、評価時点でのセキュリティ機能に対する保証レベルです。

導入後の運用管理を不要にするものではありません。

実際の現場では、次のような管理が必要です。

適切な設定

アカウント管理

ログ監視

脆弱性情報の確認

パッチ適用

障害時やインシデント時の対応

SG試験では、認証済み・評価済みだから管理不要という選択肢は誤りとして切りやすいです。

誤解3：EALは暗号アルゴリズムの強度を示すと思う

EALは、暗号アルゴリズム単体の強度を示すものではありません。

暗号機能をもつ製品が評価対象になることはありますが、EALが直接「暗号の強さ」を表すわけではありません。

たとえば、暗号アルゴリズムの安全性や鍵長の話と、EALによる評価保証レベルの話は分けて考えます。

選択肢で「暗号アルゴリズムの品質」や「暗号そのものの強さ」と書かれていたら、EALとは少しずれていないか確認しましょう。

誤解4：EALとJISECを同じものとして覚える

EALとJISECは関係しますが、同じものではありません。

用語見るポイント

EAL 評価保証レベル JISEC 日本の評価・認証制度 ISO/IEC 15408 評価基準

JISECのような評価・認証制度の中で、ISO/IEC 15408に基づく評価が行われ、その評価の保証レベルとしてEALが使われます。

SG試験では、基準・制度・レベルを分けて覚えると混同しにくくなります。

SG試験でのひっかけポイント

SG試験では、EALについて次のように問われることがあります。

EALが示すものはどれか。 ISO/IEC 15408における評価保証レベルとして適切な説明はどれか。

このときは、次の判断基準で選択肢を切ります。

評価の深さ・保証の程度を示しているか

製品の安全性そのものを絶対保証していないか

暗号アルゴリズムの強度にすり替わっていないか

導入後の運用管理を不要にしていないか

「評価の厳しさ」「保証の程度」「ISO/IEC 15408」という言葉が出てきたら、EALを思い出しましょう。

まとめ（試験直前用）

EALは、IT製品やITシステムのセキュリティ機能が、どの程度厳しく評価されたかを示す評価保証レベルです。

ISO/IEC 15408に関係する用語です。

EALは、製品の安全性を絶対に保証するものではありません。

EALが高くても、設定・監視・パッチ適用などの運用管理は必要です。

選択肢では、「評価の深さを示すレベルか？」を基準に判断しましょう。

🔗 関連記事

🏠 情報セキュリティマネジメントトップに戻る