セキュリティ統制・法務・基準重要度:★★出題: AM2・PM1

CC (ISO/IEC 15408) と FIPS 140-3 / CRYPTREC暗号リスト

こもんくらいてりあ / ふぃっぷす / くりぷとれっく / Common Criteria (ISO/IEC 15408) / FIPS 140-3 / CRYPTREC

IT製品のセキュリティ機能と保証レベルを第三者評価・認証する国際規格（ISO/IEC 15408：CC）、暗号モジュールの安全性基準（FIPS 140-3）、および日本の電子政府推奨暗号リスト（CRYPTREC）。

3行速習ポイント

ISO/IEC 15408（CC：Common Criteria）：製品種別ごとのセキュリティ要求仕様をまとめたPP（Protection Profile）に対し、個別製品（TOE）の設計仕様書であるST（Security Target）を評価機関が審査しEAL1〜7で保証
CRYPTREC暗号リスト：「電子政府推奨暗号リスト（現在推奨）」「推奨候補暗号リスト（安全性・性能が確認され今後掲載見込み）」「運用監視暗号リスト（互換性維持目的のみ許容）」の3リスト構成
FIPS 140-3：米国NISTが定める暗号モジュール（HSM等）のセキュリティ要件規格であり、物理的耐タンパー性などに応じてセキュリティレベル1〜4を規定

図セキュリティ評価認証規格（CC / FIPS 140-3）と CRYPTREC 暗号リスト

IT製品セキュリティ認証

ISO/IEC 15408 (CC：Common Criteria)

TOE（評価対象製品）・PP（分野別要求仕様）・ST（実装設計仕様）

IT製品のセキュリティ機能が適切に設計・実装されているかを第三者機関が評価・認証する国際規格（日本ではJISECが運用）

推奨暗号アルゴリズム

CRYPTREC 暗号リスト（3段階構成）

電子政府推奨暗号・推奨候補暗号・運用監視暗号の3分類

安全性・性能が確認された「電子政府推奨暗号リスト」を基本とし、危殆化懸念により互換性維持目的のみ許容される暗号は「運用監視暗号リスト」に分類

暗号モジュール基準

FIPS 140-3 / JCMVP（暗号モジュール認証）

HSM等の暗号ハードウェア・ソフトウェアの耐タンパー性基準

暗号アルゴリズム単体ではなく、鍵を保管・演算する「暗号モジュール」の物理的・論理的保護強度をセキュリティレベル1〜4で評価・認証

💡 個別製品の具体的な脆弱性識別番号は「CVE」、SQLiやXSSなど脆弱性の種類・原因の体系分類は「CWE」、深刻度スコアは「CVSS」と正確に区別する

政府調達や重要インフラの機器選定において、ベンダの自己申告ではなく客観的な国際基準・公的基準による安全性認証を確認するための知識です。日本ではJISEC（ITセキュリティ評価及び認証制度）およびJCMVP（暗号モジュール試験及び認証制度）が運用されています。

CCの重要3用語：TOE（Target of Evaluation：評価対象となるIT製品やシステム）、PP（Protection Profile：ファイアウォールやICカード等の製品分野ごとの標準セキュリティ要件集合）、ST（Security Target：特定のTOEが満たすセキュリティ機能と実装仕様を記述した文書）
CRYPTRECの3分類の正確な区別：危殆化懸念により新規調達を推奨しないが互換性維持目的に限り利用を認めるのは「運用監視暗号リスト」
CVCE / JVN / CWE：CVE（個別製品の脆弱性識別番号）、CWE（SQLiやXSSなど脆弱性の種類・原因の体系分類）、JVN（日本における脆弱性対策情報ポータル）