セキュリティ技術評価

要点と定義

セキュリティ技術評価は、製品やシステムのセキュリティ水準を知り、情報資産の不正コピーや改ざんなどを防ぐために、セキュリティ機能や実装を評価する考え方です。実務では、調達側が必要な機能を定め、評価の記録と照合して、要件を確認できるか判断します。

評価では、セキュリティ機能要件とセキュリティ保証要件を区別します。前者は何を守る機能が必要か、後者はその機能が適切に設計・実装されているとどの程度確かめるかに関わります。保証レベルは評価の保証の度合いを表す用語です。要件、評価方法、保証レベルを混同せず、評価対象と目的に合わせて適用します。

ISO/IEC 15408（コモンクライテリア）は、情報技術製品やシステムが適切に設計され、正しく実装されているかを評価する枠組みです。ISO/IEC 18045はその共通評価方法に関する規格です。関連用語には、セキュリティ要件をまとめるPP、評価保証レベルを表すEAL、評価・認証制度のJISECがあります。規格や制度の名前だけで、個別製品の安全性が自動的に保証されると判断せず、評価対象や要件を確認します。

脆弱性診断やペネトレーションテストは、セキュリティ上の弱点を調べる方法です。ペネトレーションテストでは、攻撃を試みて、対象への侵入が可能かを確認します。設定が仕様どおりか、機能が期待どおりか、処理性能が十分かを測る検査とは、確認する目的が異なります。

適用条件と例

評価結果を要件確認に使うときは、要件と評価記録の対象範囲が対応しているかを確かめます。例として、調達側の確認要件が「認証機能、アクセス制御機能、監査記録機能」で、評価記録に「認証機能、監査記録機能」が記載されている場合、記録だけでは確認できないのはアクセス制御機能です。確認対象から記録に含まれる項目を除くと、未確認の項目が残ります。

ファジングは、多様なデータをソフトウェアに入力し、実行時の挙動を観察して脆弱性や異常を探す方法です。例えば、通常と異なる長さや形式のデータを与えて、異常終了や予期しない動作が起きないかを調べます。入力と実行時の反応を調べる点が要点です。

CRYPTRECは、電子政府での利用を推奨する暗号技術の安全性評価や監視に関する活動を行います。暗号技術の評価・活用に関する検討を扱う組織として理解します。

過去の出題で扱った補足として、ISMAP標準監査手続に関する設問では、監査対象期間は最大1年で、1年より短い期間で監査する場合の最低運用期間は3か月とされています。この期間の情報は過去問の補足として扱い、現行シラバスの指定細目とは区別します。

過去の出題で扱った補足として、CPSは認証局が証明書の発行、管理、失効、更新などをどのように運用するかを定めた文書です。監査ログや失効証明書の一覧、運用の検証報告書とは役割が異なります。この説明も過去問で扱った補足であり、現行シラバスの指定細目とは区別します。

誤りやすい点

評価記録にある機能だけを見て、調達要件のすべてが確認済みだと考えないことが大切です。要件ごとに記録の該当箇所を照合し、記載がない機能は確認できたものとして扱いません。