問題 No.6457
情報機器やソフトウェアなどの情報セキュリティに関する製品が、適切に設計され評価されていることを客観的に証明するための国際標準規格であり、ISO/IEC 15408として知られるものはどれか。
【正解の解説】
CC
これは製品のセキュリティ性能を測る「工業製品のJISマークや安全基準の検定」のようなものです。防火金庫を買うときに「第三者機関が本当に燃えないか厳しいテストをして合格した証拠」がついていると安心できますよね。このCCがあることで、企業や政府は購入するファイヤーウォールやOSが信用できる物かどうかを客観的に判断できるようになります。
スポンサーリンク
【その他の選択肢の解説】
ISMS
製品そのものの頑丈さをテストするCCと混同しやすいですが、ISMSは会社全体のルールや運用体制という「組織の仕組み」を対象にしています。例えるなら、CCが金庫の扉自体の強度テストだとすれば、ISMSは「金庫の鍵を誰が管理し、どう施錠するかという警備マニュアルと運用ルール全体の監査」に相当します。
CSIRT
国際規格であるCCとはまったく異なり、人間による実動部隊や組織を指す用語です。例えるなら、CCが消火器自体の性能検定規格だとすれば、CSIRTは火災報知器が鳴ったときに現場へ駆けつけて消火活動を行う「社内の消防隊（自衛消防組織）」そのものを意味します。
PCIDSS
あらゆるIT製品一般を広く対象とする国際標準のCCとは異なり、クレジットカード業界に特化したセキュリティ要件です。例えるなら、CCが一般的なあらゆる工業製品の安全基準規格であるのに対し、PCI DSSは「銀行や現金輸送車だけに求められる超厳戒態勢の専用警備ルール」のような特定の領域に特化した基準です。