情報セキュリティスペシャリスト
情報技術者試験まとめへ

法律(1)

情報セキュリティ・ITサービスマネジメントに関する規格・制度

ISO/IEC 15408

ISO/IEC 15408とは

情報技術セキュリティの評価基準であり、情報技術の製品及びシステムのセキュリティ特性を評価する基盤として用いるためにCCと称した基準のこと

開発／製造／運用に関わった資材を検査して大丈夫と宣言

検査の対象物候補：

大丈夫さの度合い（検査対象物の範囲とその内容）を評価
CC(Common Criteria)とは

情報技術に関するセキュリティの評価基準
情報技術セキュリティの観点から、情報技術に関連した製品及びシステムが適切に設計され、その設計が正しく実装されていることを評価するための国際標準規格
米国のTCSECやヨーロッパのITSECなど、各地域で独自の基準を統合したもの。1999年にISO/IEC 15408として国際標準化された
欧米等の軍事組織がコンピュータ等のIT製品を調達しようとする際にセキュリティ要件や評価基準が国ごとに異なるため、評価が困難であったため、IT製品等のセキュリティ評価基準を統一し、評価結果を相互に承認しようという考えのもと、コモンクライテリアとして策定され、国際標準ISO/IEC 15408 として規格化された。共通（common）の基準（criteria）でCC(Common Criteria)

ISO/IEC 15408の位置づけ

開発・技術運用・管理
プロセス
(製品)		ISO/IEC 21857(SSE-CMM)
ISO/IEC TR 15504
CMMI
ISO 9000		ISO/IEC 17799
BS 7799
ISO/IEC TR13335(GMITS)
ISO/IEC 21857(SEE-CMM)
ISMS認証基準
製品・
システム		ISO/IEC 15408（CC）
PKI、暗号等の個別技術

ISO/IEC 15408の構成

ISO/IEC 15408内容は以下の3つで構成されている

Part 1：概要と一般モデル
Part 2：セキュリティ機能要件

どのような機能を備えるか。

Part 3：セキュリティ保証要件

検査の内容。

レベル評価の概要
EAL1セキュリティ機能仕様、マニュアルの確認、評価者によるテスト
EAL2サブシステムレベルまでセキュリティ機能設計の確認、構成管理の確認、開発者による機能強度・脆弱性分析、評価者による侵入テスト
EAL3サブシステムレベルまで開発者テスト結果の確認、構成管理システム使用の確認、開発環境の確認、開発者による誤使用分析
EAL4モジュールレベルまで確認、実装表現レベル(最も具体レベルの設計: 例えばソースコードレベル)の部分的確認、普通程度の攻撃に対抗
EAL5実装表現レベルのセキュリティ機能を全て確認、サブシステムレベルまでの設計が半形式的表現、隠れチャネル分析、高度の攻撃に対抗
EAL6モジュールレベルまでの設計が半形式的表現、非常に高度の攻撃に対抗
EAL7サブシステムレベルまでの設計が形式的表現、開発者による分析・テストのすべてを評価者が再確認
ST (セキュリティターゲット)

※TOE(Target Of Evaluation)：評価の対象

PP (プロテクションプロファイル)
≪STとPPの違い≫

ST：評価対象となる個々の製品ごとに作成される
PP：同一分野の製品で共通して使用可能な汎用化された共通仕様書

≪ISMSとCCの違い≫

ISMS（ISO/IEC 27001）：セキュリティのマネジメント（管理）面での制度
ISO/IEC 15408　　　　：セキュリティの製品やシステムに対する基準
評価基準であるCCを使ってどう評価するかは、共通評価方法 (CEM：Common Methodology for Information Technology Security Evaluation)としてまとめられている

CMMI（能力成熟度モデル統合版）

CMMI（Capability Maturity Model Integration）とは

CMMIとは、組織のプロジェクトマネジメント力を5段階評価で表したもの。もともとは1980年に発表されたソフトウェア開発を対象にしたCMM（能力成熟度モデル）がベース。その後エンジニアリングやソフトウェア調達、人材開発などさまざまな分野向けに派生版が生まれ、これらを1999年に統合したものがCMMI。CMMにI（Integration）という文字が加わっている。

成熟度モデル(CMMI)
レベル段階内容
成熟度レベル1初期プロジェクトの遂行は個人に依存、組織的な管理なし
成熟度レベル2反復可能プロジェクトの計画・管理手段が存在、プロセスを反復可能
成熟度レベル3定義されている開発プロセスの標準化がされ、標準プロセスの改善を行う
成熟度レベル4管理されている開発プロセスを定量的に管理し、変更にも即座に対応可能
成熟度レベル5最適化開発プロセスを自発的に改善可能

CMMIの認定（アプレイザル）

組織がCMMIレベルの認定を受けるには、認定アプレイザーとそのチームに依頼してプロジェクトマネジメント状況を評価（アプレイザル）してもらい、定められている水準に達しているかの認定を得る必要がある。

認定アプレイザー（SCAMPIアプレイザー）

SEI(カーネギーメロン大学のソフトウェア工学研究所)によりは教育・認定された、組織のCMMIレベルを認定できる人のこと。

PCI DSS (Payment Card Industry Security Standards)

PCI DSSとは

クレジットカード業界のセキュリティ基準のこと。PCIデータセキュリティ基準ともよばれる
クレジットカード情報や取引情報の保護を目的としている
国際クレジットカードブランド5社(MasterCard、VISA、JCB、American Express、Discover)が共同で設立したPCISSCという国際協議会が設けた業界基準

PCIDSS(バージョン1.2)の要件
安全なネットワーク
の構築と維持		要件1カード会員データを保護するために、ファイアウォールをインストールして構成を維持する
要件2システムパスワードおよび他のセキュリティパラメータにベンダ提供のデフォルト値を使用しない
カード会員データの保護要件3保存されたカード会員データを保護する
要件4オープンな公共ネットワーク経由でカード会員デー夕を伝送する場合、暗号化する
脆弱性管理
プログラムの整備		要件5全てのシステムをマルウェアから保護し、ウィルス対策ソフトウェア又はプログラムを使用し、定期的に更新する
要件6安全性の高いシステムとアプリケーションを開発し、保守する
強固なアクセス制御
手法の導入		要件7カード会員データへのアクセスを、業務上必要な範囲内に制限する
要件8コンピュータにアクセスできるユーザに一意のIDを割り当てる
要件9カード会員データへの物理アクセスを制限する
ネットワークの
定期的な監視
及びテスト		要件10ネットワークリソース及びカード会員データへのすべてのアクセスを追跡及び監視する
要件11セキュリティシステム及びプロセスを定期的にテストする
情報セキュリティ
ポリシの維持		要件12従業員及び派遣社員向けの情報セキュリティポリシを整備する

ISO/IEC 20000

ISO/IEC20000とは

ISO/IEC20000は、ITILを参照してまとめられたITサービスマネジメントの国際標準規格（ITSMSとも言われる）
ITサービスマネジメントの「理想的なお手本」であるITILから「どのような組織でも共通してやっておくべきこと」を抜き出したもの

構成


Part 1とPart 2との2部で構成されている
Part 1　ITサービスマネジメントの認証基準についての規定
　　　　ITサービスを提供する組織が満たすべき要求事項(義務)が定められている
Part 2　ITサービスマネジメントを実施するうえでの実施基準を記述
　　　　要求事項を満たすための指針が挙げられている

また、Part 3として、ISO/IEC 20000認証取得時の適用範囲と審査の指針についての検討が進められている（2010年7月時点では技術報告書(TR)）

ITILの概要


ITILとは、企業情報システムの運用管理の先進事例を体系的に集めた書籍のこと。 ITTLは広く普及しているVer2と2007年5月リリースされたVer3がある
＜参照＞
Ver2については基本情報技術者試験まとめ⇒サービスマネジメント⇒ITIL
Ver3.については応用情報技術者試験まとめ⇒マネジメント⇒サービスマネジメント⇒ITIL

 

ページトップへ 次へ