iso/iec 15408
IT 製品のセキュリティを、第三者が共通の基準で評価するための国際規格です。コモンクライテリア（Common Criteria、CC）とも呼ばれます。評価の方法は、別の文書（CEM）で定められています。
構成（CC:2022 Release 1）
現行の CC:2022 Release 1 は、5つの部で構成されています。
| 部 |
内容 |
| 第1部 |
概要と一般的なモデル |
| 第2部 |
セキュリティ機能要件 |
| 第3部 |
セキュリティ保証要件 |
| 第4部 |
評価の方法と活動を定めるための枠組み |
| 第5部 |
あらかじめ定められた、セキュリティ要件のパッケージ |
主要な概念
- 評価の対象（TOE）：評価する製品やその一部
- プロテクションプロファイル（PP）：ある種類の製品（ファイアウォールなど）に求めるセキュリティ要件を、製品に依存しない形でまとめた文書
- セキュリティターゲット（ST）：個々の製品が満たすと主張するセキュリティ要件を書いた文書。評価は ST に書かれた範囲について行う
- 評価保証レベル（EAL）：保証の深さと厳しさの段階（EAL1〜EAL7）。CC の承認アレンジメント（CCRA）の参加組織は、版の違う基準の間で、定められた保証レベルは同等で、合成の評価に制限なく使えるとしている
読み方の注意
- 認証は ''ST に書かれた範囲と設定''についてのもの。認証された製品でも、評価の範囲の外の機能や、評価と違う設定で使えば、評価の結果は当てはまらない
- EAL の高さは「評価がどれだけ厳密か」を示すもので、製品の機能が多いことや、弱点が無いことを示すものではない
日本の制度
IPA の「IT セキュリティ評価及び認証制度（JISEC）」は、IT 関連製品のセキュリティ機能を、ISO/IEC 15408 に基づいて第三者の評価機関が評価し、その結果を認証機関が認証する制度です。認証された製品の一覧が公開されています。
関連するページ
出典
確認日：2026年10月15日
最終更新：2026年10月15日 14:37
