問題 No.4312
ある企業では、新たに自社で開発したクラウドサービス向けの情報セキュリティ評価を実施することになった。ISO/IEC 15408（共通基準：CC）に基づいて、評価の対象となる製品やシステム固有のセキュリティ要件を定義した文書を作成する場合、この文書を指す用語はどれか。
【正解の解説】
ST
家づくりで例えるなら、一般的な建築基準法やカタログ（PP）ではなく、今まさに自分が建てる「オーダーメイドの注文住宅の具体的な設計図とこだわり仕様書」に相当します。個別のIT製品やシステムが満たすべきセキュリティ機能を自ら定めた文書であり、評価の基準として直接用いられます。初学者は製品個別の要件であると覚えるのがコツです。
スポンサーリンク
【その他の選択肢の解説】
PP
STと非常に混同しやすい試験の定番トラップです。PPは家で例えるならハウスメーカーが提示する「マンション標準仕様の共通パンフレット」のようなもので、特定の一品ものではなく、似たような製品群で共通して満たすべき共通のルールブックを指します。今回は個別製品の要件なのでPPは誤りとなります。
TOE
試験問題文で「文書を作成する場合」と聞かれているのに対し、TOEは文書ではなく「検査を受けるモノ（ターゲット自体）」を意味します。家作りの例えでは設計図（ST）ではなく「検査を受ける実際の建物そのもの」にあたります。文書と対象物を問うひっかけ問題でよく使われるので、名称のニュアンスをしっかり区別しましょう。
SAR
STが「何ができるか（機能要件）」の定義であるのに対し、SARは「ちゃんと作られているか、テストは正しく行われているか（保証要件）」を規定するものです。初学者はアルファベットの羅列で混乱しやすいですが、Assurance（保証）のAが入っているため、機能そのものではなく信頼性を担保するための評価活動に関する要件であると見抜く必要があります。