「ISO/IEC 15408という規格を見かけたが、ISO 27001とは何が違うのだろうか」
「Common Criteria（CC）認証とは、どのような制度なのだろうか」
情報セキュリティに関する認証制度にはさまざまな種類があります。その中でもISO/IEC 15408（Common Criteria：CC）は、IT製品やソフトウェアのセキュリティ機能を評価するための国際標準です。
ISO 27001が組織の情報セキュリティマネジメントを対象とするのに対し、ISO/IEC 15408は製品そのものの安全性を評価するという特徴があります。
本記事では、ISO/IEC 15408の概要や評価制度、企業が知っておきたいポイントについてわかりやすく解説します。
ISO/IEC 15408（Common Criteria）とは？
ISO/IEC 15408は、IT製品や情報システムのセキュリティ機能を評価するための国際規格です。
一般的にはCommon Criteria（CC）という名称でも知られています。
製品に搭載された認証機能やアクセス制御、監査ログなどのセキュリティ機能が、一定の基準を満たしているかを第三者が評価します。
なぜISO/IEC 15408が必要なのか
企業や官公庁では、多くのIT製品を導入しています。
しかし、製品ごとに
- セキュリティ機能は十分か
- 改ざんされにくい設計か
- 認証機能は適切か
を利用者自身が確認することは容易ではありません。
そこで第三者機関が一定の基準に基づいて評価を行うことで、利用者は製品選定時の参考にできます。
評価対象となる製品
ISO/IEC 15408では、さまざまなIT製品が評価対象になります。
例えば、
- OS
- ファイアウォール
- ICカード
- ネットワーク機器
- セキュリティソフトウェア
- 認証製品
などが挙げられます。
EAL（Evaluation Assurance Level）とは？
ISO/IEC 15408では、評価保証レベルとしてEAL（Evaluation Assurance Level）が定められています。
EALは1から7まであり、数字が大きいほど厳しい評価が実施されます。
ただし、EALが高いほど「セキュリティが強い」という意味ではありません。
EALは「どの程度厳密に評価されたか」を示す指標であり、製品の用途に応じて適切なレベルが選択されます。
ISO 27001との違い
ISO 27001は、組織全体の情報セキュリティマネジメントシステム（ISMS）を対象とした規格です。
一方、ISO/IEC 15408は、IT製品やシステムのセキュリティ機能を評価する規格です。
つまり、
- ISO 27001：組織を評価する規格
- ISO/IEC 15408：製品を評価する規格
という違いがあります。
よくある質問
ISO/IEC 15408は企業が取得する認証ですか？
組織全体ではなく、IT製品やソフトウェアなどが評価対象となります。
Common CriteriaとISO/IEC 15408は同じですか？
はい。同じ評価制度を指します。Common Criteria（CC）は通称であり、国際規格名がISO/IEC 15408です。
まとめ
ISO/IEC 15408（Common Criteria）は、IT製品のセキュリティ機能を評価するための国際規格です。
ポイントは次のとおりです。
- IT製品やソフトウェアのセキュリティ機能を評価する国際規格
- Common Criteria（CC）とも呼ばれる
- EALによって評価保証レベルが示される
- ISO 27001とは異なり、組織ではなく製品を対象とする
IT製品を選定する際は、ISO/IEC 15408による評価を参考にすることで、セキュリティ機能を客観的な観点から確認することができます。
情報セキュリティ研修をご検討中の方へ
当サイトでは、企業・自治体向けに以下のサービスをご提供しています。
- 研修動画パッケージ（買い切り型）
- 講師派遣による対面・オンライン研修
- 社内啓発に活用できる無料「情報セキュリティ10箇条」ポスター
動画研修には、スライド一式・理解度確認テスト・研修実施報告書テンプレート・社内掲示用ポスターも付属しており、研修担当者の負担軽減にも役立ちます。
料金やカリキュラムの詳細は、[情報セキュリティ研修サービス一覧] をご覧ください。
