セキュリティ評価の基礎

JISECは、IT製品のセキュリティ機能とその保証に関する評価・認証を扱う制度です。JCMVPは、暗号モジュールの試験と認証を扱います。どちらもセキュリティに関係しますが、評価対象が同じではありません。製品調達時には、対象とする製品や機能に合う制度や評価結果を参照します。制度名だけを覚えるのではなく、IT製品全体の評価か、暗号モジュールかを区別します。

JISECとJCMVPは評価対象で区別する。

CVSSは、脆弱性の深刻度を共通の尺度で評価するための仕組みです。脆弱性に関する技術的な特徴などを基に数値化し、対応の優先度を考える材料にします。数値だけで組織の最終的な対応順序が自動的に決まるわけではなく、対象システムの重要度や利用状況なども判断に関係します。CVSSは脆弱性の深刻度を評価する尺度として整理します。

CVSSは脆弱性の深刻度を共通尺度で表す。

脆弱性診断は、システムやソフトウェアに既知の弱点や設定上の問題などがないかを調べます。ペネトレーションテストは、攻撃者の視点で実際の侵入や権限取得につながる経路を検証する試験です。目的や手順は異なるため、同じものとして扱いません。また、耐タンパ性は、機器やモジュールが不正な解析や改変に耐える性質に関わる用語です。

脆弱性診断と侵入試験の目的を区別する。

科目Aの形: 四肢択一(このページのために作った問題)

セキュリティ機能要件とセキュリティ保証要件の説明として、最も適切なものはどれか。

1. 機能要件は暗号モジュールの認証制度、保証要件はIT製品の認証制度を扱う。
2. 機能要件は備えるべきセキュリティ機能、保証要件はその機能の実装や評価に関する保証を扱う。
3. 機能要件は評価手順や証拠、保証要件は備えるべきセキュリティ機能を扱う。
4. 機能要件は保証レベルの高さ、保証要件は脆弱性の深刻度を扱う。

答えと解説を見る

正解: 機能要件は備えるべきセキュリティ機能、保証要件はその機能の実装や評価に関する保証を扱う。

セキュリティ機能要件は対象が備える機能に関する要求です。セキュリティ保証要件は、その機能が適切に開発・評価されていることをどのように保証するかに関わります。

まちがえやすい点: 機能そのものへの要求と、評価・保証への要求を混同しない。

科目Aの形: 四肢択一(このページのために作った問題)

JISECとJCMVPの対応として、最も適切なものはどれか。

1. JISECは暗号モジュールの試験・認証、JCMVPはIT製品のセキュリティ評価・認証を扱う。
2. JISECはIT製品のセキュリティ評価・認証、JCMVPは脆弱性の深刻度評価を扱う。
3. JISECはIT製品のセキュリティ評価・認証、JCMVPは暗号モジュールの試験・認証を扱う。
4. JISECは脆弱性の深刻度評価、JCMVPはIT製品のセキュリティ評価・認証を扱う。

答えと解説を見る

正解: JISECはIT製品のセキュリティ評価・認証、JCMVPは暗号モジュールの試験・認証を扱う。

JISECはIT製品のセキュリティ機能と保証に関する評価・認証を扱います。JCMVPは暗号モジュールの試験・認証を扱う制度です。

まちがえやすい点: 二つの制度は、評価・認証の対象が異なる。

科目Aの形: 四肢択一(このページのために作った問題)

脆弱性評価に関する記述として、最も適切なものはどれか。

1. 耐タンパ性は、脆弱性の深刻度を数値化して比較する性質である。
2. ペネトレーションテストは、既知の脆弱性や設定不備を網羅的に列挙することを主目的とする。
3. 脆弱性診断は、攻撃者の視点で実際の侵入成立までを中心に検証する試験である。
4. CVSSは脆弱性の深刻度を共通の尺度で表すために用いられる。

答えと解説を見る

正解: CVSSは脆弱性の深刻度を共通の尺度で表すために用いられる。

CVSSは脆弱性の深刻度を共通尺度で評価する仕組みです。脆弱性診断は弱点や設定不備の発見、ペネトレーションテストは攻撃者視点で侵入可能性を検証するもので、耐タンパ性は不正な解析や改変への耐性に関わります。

まちがえやすい点: CVSS、脆弱性診断、侵入試験、耐タンパ性はそれぞれ役割が異なる。