ISO/IEC 15408（CC）とは？IT製品のセキュリティ評価基準【SG試験】

まず結論

ISO/IEC 15408は、CC（Common Criteria：情報技術セキュリティ評価のための共通基準）として知られる、IT製品やITシステムのセキュリティ機能を評価するための国際規格です。

SG試験では、細かい規格番号を暗記するよりも、「何を評価する規格なのか」を判断できることが大切です。

特に、選択肢では次のような形で迷わせてくることがあります。

暗号アルゴリズムそのものの品質
サービス運用の管理手順
ファイアウォールなどのセキュリティ製品
電磁波漏えいなどの物理的対策

この中でISO/IEC 15408の評価対象として考えやすいのは、セキュリティ機能をもつIT製品やシステムです。

たとえば、パケットフィルタリング機能をもつファイアウォール用ソフトウェアは、ISO/IEC 15408の評価対象になり得ます。

直感的な説明

ISO/IEC 15408は、簡単にいうと、セキュリティ製品の「安全性の説明書と検査基準」のようなものです。

たとえば、会社でファイアウォールを導入するとき、製品の説明だけを見ても、次のような不安が残ります。

本当に通信を適切に制御できるのか
セキュリティ機能は設計どおりに動くのか
第三者の評価を受けているのか
調達先として信頼できる製品なのか

そこで、製品のセキュリティ機能について、一定の基準に基づいて評価する考え方が必要になります。

ISO/IEC 15408は、「この製品は、どのようなセキュリティ機能をもち、それがどの程度きちんと評価されているか」を確認するための枠組みです。

SG試験では、製品そのものを技術的に深く解析するというより、製品評価の規格なのか、運用管理の規格なのかを切り分ける視点が問われます。

定義・仕組み

公式: JISEC（ITセキュリティ評価及び認証制度）：公式: JISEC（ITセキュリティ評価及び認証制度）

ISO/IEC 15408は、情報技術に関する製品やシステムのセキュリティ機能を評価するための国際規格です。

日本では、対応するJISとして JIS X 5070 があります。

CC、TCSEC、ITSECの関係

CCは、米国で使われたTCSECや、欧州で使われたITSECなどの評価基準を踏まえて、国際的に共通化された評価基準です。

SG試験では、次のように押さえます。

用語	試験での見方
TCSEC	米国で使われたセキュリティ評価基準
ITSEC	欧州で使われたセキュリティ評価基準
CC	TCSECやITSECなどを踏まえて国際的に標準化された評価基準
ISO/IEC 15408	CCを国際規格として整理したもの
JIS X 5070	ISO/IEC 15408に対応する日本のJIS

TCSEC、ITSEC、Common Criteria が並ぶ文脈では、国際的なITセキュリティ評価基準を考えます。

評価対象は、ソフトウェアだけに限られません。

ソフトウェア
ハードウェア
ファームウェア
それらを組み合わせたシステム

などが対象になり得ます。

ここで大事なのは、ISO/IEC 15408が見るのは、組織の運用ルールそのものではなく、製品やシステムに備わるセキュリティ機能だという点です。

たとえば、次のようなものは評価対象としてイメージしやすいです。

例	評価対象として考えやすい理由
ファイアウォール	通信を制御するセキュリティ機能をもつ
ICカード	認証や暗号処理などの機能をもつ
セキュリティ機能付きOS	アクセス制御などの機能をもつ
データベース製品	権限管理や監査ログなどの機能をもつ

一方で、単なる運用手順や組織の管理ルールは、ISO/IEC 15408の中心的な評価対象とは考えません。

また、日本ではISO/IEC 15408に基づく評価・認証の制度として、ITセキュリティ評価及び認証制度（JISEC）があります。

JISECでは、IT製品やシステムについて、セキュリティ機能の適切性や確実性を第三者が評価し、その結果を認証する枠組みが整備されています。

さらに、評価の深さや保証の程度を示す考え方として、評価保証レベル（EAL：Evaluation Assurance Level）があります。

EALは、ざっくりいうと、どの程度の厳しさで評価されたかを示す目安です。

ただし、SG試験ではEALの細かい段階を暗記するより、まずは次のように押さえると十分です。

ISO/IEC 15408は、IT製品やシステムのセキュリティ機能を評価するための規格である。

どんな場面で使う？

ISO/IEC 15408は、主にセキュリティ製品やシステムを調達・導入するときに関係します。

たとえば、組織がセキュリティ製品を選ぶ場面では、価格や機能一覧だけで判断すると危険です。

セキュリティ機能が明確に定義されているか
第三者の評価を受けているか
調達条件として十分な保証があるか
重要な情報資産を守る目的に合っているか

このような判断材料として、ISO/IEC 15408に基づく評価や認証が使われることがあります。

SG試験では、特に調達・委託・情報資産保護の文脈で考えると理解しやすくなります。

たとえば、重要な情報を扱うシステムにファイアウォールや認証製品を導入する場合、単に「有名な製品だから安全」と考えるのではなく、客観的な評価を受けているかを確認する視点が大切です。

一方で、ISO/IEC 15408を使う場面と誤解しやすいものもあります。

場面	ISO/IEC 15408として考えるか
ファイアウォール製品のセキュリティ機能を評価する	考えやすい
認証サービスの運用手順を管理する	中心ではない
社員教育の実施状況を確認する	中心ではない
電磁波漏えい対策の方法を定める	中心ではない

選択肢では、「製品・システムのセキュリティ機能」か「組織の運用・管理・物理対策」かを切り分けると判断しやすくなります。

よくある誤解・混同

誤解1：暗号アルゴリズムそのものを評価する規格だと思う

ISO/IEC 15408は、暗号アルゴリズム単体の品質を評価するための規格ではありません。

暗号機能をもつ製品は評価対象になり得ますが、試験では「暗号アルゴリズムそのもの」なのか「暗号機能をもつIT製品」なのかを分けて考える必要があります。

選択肢で「暗号アルゴリズムの品質」と書かれていたら、ISO/IEC 15408の評価対象としては少しずれています。

誤解2：サービス運用の管理手順を評価する規格だと思う

認証業務の運用受託サービスの管理手順などは、サービス運用や委託先管理の話です。

もちろん、SG試験では委託先管理も重要ですが、ISO/IEC 15408の中心はIT製品やシステムのセキュリティ機能の評価です。

そのため、選択肢で「運用手順」「管理手順」「業務プロセス」と書かれていたら、ISO/IEC 15408とは別の管理・監査の話ではないかと疑うとよいです。

誤解3：物理的な漏えい対策の規格だと思う

表示装置からの電磁波放射による情報漏えいの防止方法は、物理的・環境的なセキュリティ対策の話です。

ISO/IEC 15408は、こうした物理的対策そのものを定める規格として覚えるものではありません。

選択肢では、「製品評価」ではなく「対策方法」になっていないかを見ると切り分けやすくなります。

誤解4：ソフトウェアだけが対象だと思う

ISO/IEC 15408の評価対象は、ソフトウェアだけではありません。

ハードウェア、ファームウェア、システム全体も対象になり得ます。

ただし、SG試験の選択肢では、ファイアウォール用ソフトウェアのように分かりやすいセキュリティ製品が出されることがあります。

この場合は、セキュリティ機能をもつIT製品だから評価対象になると考えます。

SG試験でのひっかけポイント

SG試験では、ISO/IEC 15408について、次のように問われることが多いです。

ISO/IEC 15408の評価対象になるものはどれか。

このときは、次の判断基準で選択肢を切ります。

IT製品・システムの話か
セキュリティ機能の評価の話か
運用手順や管理手順の話にすり替わっていないか
物理的対策や暗号単体の品質評価にずれていないか

ファイアウォール、ICカード、OS、データベースのように、セキュリティ機能をもつIT製品・システムなら、ISO/IEC 15408の評価対象として考えやすいです。

CCと似た選択肢の切り分け

選択肢の表現	考える用語
IT製品・システムのセキュリティ評価	CC / ISO/IEC 15408
暗号モジュールや暗号機能の標準	FIPS 140など
組織の管理策を整備・運用する基準	情報セキュリティ管理基準
SSL/TLS、IPsec、SSH、RADIUS、LDAPなど通信の仕様	IETFのRFCなどのプロトコル標準

SG試験では、製品・システムのセキュリティ機能を評価する基準なのか、暗号・管理・通信プロトコルの話なのかを切り分けます。JIS・ISO・IETF・RFCを横断して確認したい場合は、セキュリティ関連の標準・規格まとめも参考になります。

確認問題（SG試験対策）

CC（Common Criteria）の位置づけとして最も適切なものはどれか。

ア. 暗号モジュールの試験方法や暗号機能の要件を中心に扱う基準である。
イ. IT製品・システムのセキュリティ機能について、評価の考え方を共通化する基準である。
ウ. 組織の管理策を整備・運用するときの監査上のものさしである。
エ. 通信方式のメッセージ形式や手順を定める技術仕様である。

▶ クリックして答えと解説を見る（ここを開く）

正解：イ

解説

ア：FIPS 140などの暗号モジュール評価の説明に近いです。CCは暗号アルゴリズム単体の標準ではありません。
イ：適切です。CCは、IT製品やシステムのセキュリティ機能を評価するための共通基準です。
ウ：情報セキュリティ管理基準の説明です。組織の管理策を確認する基準であり、CCとは対象が違います。
エ：通信プロトコル仕様の説明です。CCは通信手順そのものを定める標準ではありません。

👉 判断ポイント CCは「IT製品・システムのセキュリティ機能を評価する基準」で切り分ける。

まとめ（試験直前用）

ISO/IEC 15408（CC）は、IT製品やITシステムのセキュリティ機能を評価する国際規格です。

CCは、TCSECやITSECなどを踏まえて国際的に標準化された評価基準です。

日本の対応JISは JIS X 5070 です。

SG試験では、製品・システムの評価なのか、運用手順・物理対策・暗号単体の話なのかを切り分けます。

ファイアウォールのように、セキュリティ機能をもつIT製品は評価対象として考えやすいです。

選択肢では、「セキュリティ機能をもつIT製品か？」を最初に確認しましょう。

🔗 関連記事

🏠 情報セキュリティマネジメントトップに戻る