令和4年度 秋期 情報処理安全確保支援士試験 午前II 問9
テクノロジセキュリティ管理セキュリティ関連機関・評価認証制度
IT製品及びシステムが, 必要なセキュリティレベルを満たしているかどうかについて, 調達者が判断する際に役立つ評価結果を提供し, 独立したセキュリティ評価結果間の比較を可能にするための規格はどれか。
解答・解説
正解: ア. ISO/IEC 15408
ISO/IEC 15408（コモンクライテリア：CC）は、IT製品やシステムが適切に設計され、その設計が正しく実装されていることを評価するためのセキュリティ評価基準の国際規格です。
調達者がセキュリティレベルを判断する際の指標として利用され、独立したセキュリティ評価結果間の比較を可能にします。
各選択肢の解説
- ア：正解。 ISO/IEC 15408 は、IT製品やシステムのセキュリティ評価に関する規格です。
- イ：誤り。 ISO/IEC 27002 は、情報セキュリティマネジメントシステム（ISMS）における情報セキュリティ管理策の実践のための規範を示す規格です。
- ウ：誤り。 ISO/IEC 27017 は、クラウドサービスに関する情報セキュリティ管理策のガイドラインを示す規格です。
- エ：誤り。 ISO/IEC 30147 は、IoTシステムや機器のライフサイクルを通じたセキュリティ管理に関するガイドラインを示す規格です。