情報セキュリティ管理と評価基準

情報セキュリティ管理と評価基準は、組織や製品の情報セキュリティを一定の基準で確認し、改善につなげるための考え方と規格を扱う分野である。情報セキュリティの特性を表す用語の定義、IT製品の評価に用いる国際規格、経営者が取るべき指針、事業継続の計画などがこの範囲に含まれる。試験では、どの対象を扱う規格や指針かを正しく区別できるかが問われる。

情報セキュリティの特性と用語の定義

情報セキュリティは、機密性、完全性、可用性といった特性を保つことを基本とする。JIS Q 27000では、これらに加えて否認防止などの特性が定義されている。否認防止とは、ある利用者がシステムを利用したという事実を後から証明できる性質であり、 電子署名などはその実現手段の一例である。機密性は認可された利用者だけが情報にアクセスできる性質を指し、可用性は認可された利用者が必要なときにアクセスできる性質を指す。

用語の定義を問う問題では、特性の名称と説明が入れ替えられることが多い。説明の中心が「行為を証明できるか」「アクセスを許可された者に限るか」「意図した結果が一貫して得られるか」のどれかを見極めると、特性を判別しやすくなる。信頼性は利用者の行動に対して意図した結果が一貫して得られる性質であり、否認防止とは別の特性として区別される。

製品評価の国際規格ISO/IEC 15408

ISO/IEC 15408は、IT製品のセキュリティ機能を評価するための国際規格である。評価は、製品の仕様書、ガイダンス、開発プロセスなど複数の視点から行われる点が特徴である。 製品のセキュリティ機能を対象とするため、組織の要員教育や監査といった組織全体のセキュリティ管理を定める規格とは対象が異なる。暗号モジュールに暗号アルゴリズムが適切に実装されているかを評価する規格も、製品全体の機能を対象とする本規格とは別物である。

評価保証レベルを表すEALは、評価の保証の度合いを示す尺度であり、セキュリティ機能の強さそのものを評価する指標ではない。 規格の一部の要素を取り出して全体の説明とする選択肢は誤りとなるため、規格の対象範囲と目的を押さえることが重要である。