情報セキュリティ評価と基準

要点と定義

情報セキュリティ評価では、評価対象と目的を見分けます。ISO/IEC 15408は、IT製品のセキュリティ機能を評価する基準で、コモンクライテリア（CC）とも呼ばれます。

CVSSは、脆弱性の深刻度をベンダに依存しない共通の方法で評価する仕組みです。基本評価基準・現状評価基準・環境評価基準があり、スコアは0から10で表します。 JVNは脆弱性関連情報や対策情報を提供するポータルサイトです。

情報セキュリティ監査は、独立かつ専門的な立場から管理策の整備・運用状況を検証または評価し、保証や助言を行います。 ファジングは、多様な入力を自動生成してソフトウェアに与え、その応答や挙動から不具合や脆弱性を探す動的テストです。

PCI DSSは、カード会員データを保護するための技術面・運用面のセキュリティ基準です。 SECURITY ACTIONは、中小企業が情報セキュリティ対策への取組を自ら宣言する制度です。

適用条件と例

脆弱性の深刻度を共通尺度で把握したいときはCVSS、関連情報や対策情報を探すときはJVNを使い分けます。たとえば、公開された脆弱性情報を確認し、CVSSの評価を参考に対応の優先度を検討できます。CVSSのスコアだけで、自組織での対応順が自動的に決まるわけではありません。

ソースコードを入手できないシステムでも、テスト用の入力を与えて応答を調べられるなら、ファジングを適用できます。一方、コードを読んで規則に照らす静的解析とは、対象や確認方法が異なります。

カード決済を扱う組織ではPCI DSSの要件を確認します。2019年春期試験の設問が根拠とするPCI DSS v3.2.1では、取引承認後のカードセキュリティコードは加盟店・サービスプロバイダとも保管しない扱いです。暗号化しても保管可能になるわけではありません。この説明は同設問で示された版と時点に基づき、現行規定を断定するものではありません。

監査では、実施者の独立性と専門性が判断の鍵です。担当者が自分の管理策を点検する自己評価とは役割が異なります。 中小企業が対策への取組を自己宣言する場面ではSECURITY ACTIONが該当します。製品の評価や組織の認証とは目的が異なります。