評価保証レベル

評価保証レベル

 セキュリティ評価基準は、製品やシステムのセキュリティ性を評価するための枠組みであり、主に国際標準や国家レベルの評価基準が存在します。

 ISO/IEC 15408(Common Criteria、以下CCと略す)は、国際的なセキュリティ評価基準であり、セキュリティ製品やシステムの評価、認証を行う際に利用されます。CCでは、製品やシステムのセキュリティ性を7段階の評価保証レベル(Evaluation Assurance Level、以下EALと略す)で表現します。

 EAL1は最も基本的なレベルであり、EAL7は最高レベルであり、7つのレベルに分類されます。EAL1では、セキュリティに対する一定の保証があることが要求されますが、EAL7では、最も高度なセキュリティ評価が求められます。具体的には、製品やシステムの設計、実装、テスト、ドキュメント化、および保守の各段階で厳格な要件が課せられます。

 また、米国のセキュリティ評価基準であるFIPS PUB 140-2(Federal Information Processing Standards)も広く使用されています。FIPS 140-2は、暗号モジュールのセキュリティ評価と認証を行うための基準であり、4つのセキュリティレベル(Security Level)で表現されます。

 セキュリティ評価基準は、製品やシステムのセキュリティ性を継続的に評価するための枠組みであり、セキュリティを担保するために必要な基準として重要です。

 セキュリティ評価基準は、製品やシステムのセキュリティ性を継続的に評価することで、セキュリティを担保することを目的としています。セキュリティ評価基準には、評価保証レベルの他にも、セキュリティ機能やセキュリティ要件、セキュリティ目標、評価方法などが定義されています。

セキュリティ評価基準を用いてセキュリティ評価を行う場合、一般的には以下のような手順を踏みます。

  1. 評価目標の明確化
    評価する製品やシステムのセキュリティ目標や要件を明確に定義します。
  2. 評価対象の選定
    評価する製品やシステムを選定し、評価対象を決定します。
  3. 評価方法の選択
    評価に使用する方法やツールを選択します。
  4. 評価の実施
    選定した評価方法やツールを使用して、評価を実施します。
  5. 評価結果の報告
    評価結果をまとめ、報告書を作成します。
  6. 評価結果の検証
    評価結果を検証し、改善点や不備があれば再評価を実施します。

 セキュリティ評価基準には、国際的なものだけでなく、国内の評価基準も存在します。例えば、日本においては、IPA(独立行政法人 情報処理推進機構)が策定したJISEC(Japan IT Security Evaluation and Certification Scheme)が存在します。JISECは、日本におけるセキュリティ評価のための枠組みであり、CCに基づく評価方法を採用しています。

 セキュリティ評価基準によるセキュリティ評価は、製品やシステムのセキュリティ性を継続的に担保するために必要な手法であり、セキュリティ評価によって得られた評価結果は、製品やシステムの利用者や購入者にとって、信頼性の高い情報となります。