家studyをつづって

IT技術やセキュリティで勉強したことをつづっています。

コモンクライテリアとは

セキュリティ

コモンクライテリア(Common Criteria、ISO/IEC 15408) とは

コモンクライテリアとは、セキュリティの観点から情報技術に関連した製品及びシステムが適切に設計され、その設計が正しく実装されていることを評価するための国際標準規格です。

 

 

 

欧米諸国では1980年代から自国のセキュリティ評価基準と評価制度を持ち、活用されてきました。1990年代になり、これらのセキュリティ評価で先行していた国々により商用製品の活用や国際的な市場からの調達などを目的とした国際的なセキュリティの共通評価基準を作成するプロジェクトが発足したことがコモンクライテリアの始まりです。1999年にコモンクライテリアはISO標準(ISO/IEC 15408)となり、2000年にはJIS標準 (JIS X 5070) として制定されています。

日本では独立行政法人情報処理推進機構が、「ITセキュリティ評価及び認証制度（JISEC：Japan Information Technology Security Evaluation and Certification Scheme）」を運営しています。

www.ipa.go.jp

 

コモンクライテリアの適用と評価範囲

コモンクライテリアは、情報技術を用いた製品やシステムのセキュリティ機能を対象としています。ソフトウェアだけでなく、ハードウェア、ファームウェア、システム全体も評価対象となります。

コモンクライテリアでは、セキュリティ機能の技術的な対策や実装、開発におけるプロセスなどを評価の対象とします。

  • 脅威に必要な機能が設計書に反映されていること
  • 上記機能が設計どおり実装されていること
  • 開発現場や配付過程においてセキュリティが侵害される可能性がないこと
  • ガイダンス等にセキュリティを保つための必要事項が明確に示されていること

コモンクライテリアでは、評価の深さに応じた保証レベルという概念があります。上記は評価保証レベル（EAL：Evaluation Assurance Level）といいます。

 

EALの概要

評価保証レベル 評価保証レベルの目的
EAL1
  • セキュリティへの脅威が重大とみなされない場合に適用される。
  • 限定されたSTのみを必要とし、TOEが満たさなければならないSFR（セキュリティ機能要件）を記述すればよい。
  • 仕様に対する独立テストなど顧客に対して有効なTOEの評価を実施する。
  • 最小の費用で実施できるように意図されている。
EAL2
  • 開発者または利用者が完全な開発記録を簡単に使用できない場合に、低レベルから中レベルの独立に保証されたセキュリティを必要とする環境に適用される。
  • 従来のシステムの安全性を高めるとき、または開発者へのアクセスが制限されるところで適用される。
EAL3
  • 開発者または利用者が中レベルの、独立して保証されたセキュリティを必要とする場合に適用される。
  • 大幅なリエンジニアリングを行わずにTOEとその開発の完全な調査を必要とする状況で適用される。
EAL4
  • 既存の製品ラインへの後付けが経済的に実現可能であると思われる最上位レベルである。
  • 開発者または利用者が従来の商品としてのTOEに中レベルから独立して保証された高レベルのセキュリティを必要とする場合に適用される。
  • セキュリティ特有のエンジニアリングコストを追加で負担する用意ができている状況で適用される。
EAL5
  • 専門的なセキュリティエンジニアリング技法を中程度に適用することによりサポートされる厳格な商業的開発習慣に基づいて、セキュリティエンジニアリングから最大の保証を開発者が得られるようにする。
  • 開発者または利用者が計画された開発において独立して保証される高レベルのセキュリティを必要とし、専門的なセキュリティエンジニアリング技法による非合理的なコストを負担することのない厳格な開発アプローチを必要とする状況で適用される。
EAL6
  • 重大なリスクに対して価値の高い資産を保護するためのプレミアムTOEを作り出すために、セキュリティエンジニアリング技法の厳格な開発環境への適用から、高い保証を開発者が得られるようにする。
  • 保護される資産の価値が追加コストを正当化するリスクの高い状況で適用するセキュリティTOEの開発に適用される。
EAL7
  • リスクが非常に高い状況及び/または資産の高い価値によってさらに高いコストが正当化されるところで適用するセキュリティTOEの開発に適用される。
  • 現在、EAL7の実際的な適用は、広範な形式的分析に従うセキュリティ機能が強く重要視されているTOEに限られる。

 

TOE（評価対象）

TOE（評価対象：Target of Evaluation）は評価の対象となるIT製品またはシステム、
及び関連する管理者／利用者ガイダンス文書のことです。

 

ST（セキュリティターゲット）

ST（セキュリティターゲット：Security Target）はセキュリティ設計仕様書のことで、
セキュリティ開発方針を厳密に記述するものです。