製品と運用管理セキュリティの現状と課題

X 5070「情報技術セキュリティの評価基準」という国内標準となった。2001 年4月からはこの規格が日本政府の調達基準となっている。

現在のところ、ISO/IEC 15408はCCRA(Common Criteria Recognition Arrangement)に参加している15カ国の統一基準であり(2002年６月現

在)[82] 、これらの国間では相互承認制度を持つものの、日本は各国との相互

承認制度を持っていない点が課題である。しかしこの問題に対しては、日本も CCRAへの参加を表明しており、2003年中には相互承認が可能となる見込み である。また、2002年12月には、日本で初めてのISO/IEC 15408評価機関 として２団体が認定された。現状、評価保証レベルはEAL３までであるが、日 本での評価・認定制度が本格的に稼動したこととなる。

ただ、本制度ではシステムをバージョンアップした場合に原則として再認定 が必要だが、どの規模の改変であれば再認定が必要なのかの基準も曖昧である 点が課題として残っている。

一方、認証関連製品のうち、より高いセキュリティが求められる暗号モジュ ールについては、別の評価認定基準であるFIPS140が事実上の標準として使 われている。FIPS140とは、暗号モジュールが満たすべき要件について規定し た米国の政府調達標準である。情報の重要度を4つに分類し、これに対応して 暗号モジュールが満たすべきセキュリティレベル（4段階）を設定している。

(2) 認証システム運用管理面のセキュリティ

強く最適な認証技術を選択するだけでは、認証の脅威を全て排除することは できない。認証システム導入後の運用において、例えば認証情報登録時に、い い加減な本人確認をしていると、その後は延々となりすまし認証を許してしま うこととなる。つまり、認証システム導入後の運用管理面のセキュリティ対策 を万全とすることが重要なのである。ここで、認証の脅威を排除するために、

どんな対策をどこまで打てばよいのかを判断する上で、よいガイドライン（基 準）となるのが、国際標準規格であるISO/IEC 17799である。この基準に従え ば、大枠を外れることなく効果的かつ漏れのないセキュリティ対策を打つこと ができる。

ISO/IEC17799 は、英国規格協会(BSI)の規格BS7799のPart1が国際標準 となったものであり、セキュリティの運用管理面においては、世界的に共通し て使われているガイドラインであって、10のセキュリティ管理分野と、各々の 対策方針及び管理項目から構成されている。ここで、10のセキュリティ管理分 野とは、セキュリティポリシー、セキュリティ組織、資産の識別管理、人的セ キュリティ、物理的・環境的セキュリティ、運用・通信のセキュリティ、シス テムの開発・保守、アクセス管理、業務継続計画、準拠、である。

日本では、2000年に第1版として発行されたISO/IEC 17799を翻訳したも

のを2002年3月にJIS X 5080：2002としてJIS化している。ここで、ISO/IEC

17799及びJIS X 5080は、共に情報セキュリティ管理実施基準、すなわち実

践のための規範であって、認定のための基準ではない。国内の認定のための基 準として、BS7799 Part2の基準を取り入れたセキュリティ認定制度(ISMS)が 始動している。なお、本節で挙げた情報セキュリティ標準規格の関係を図 2-18 情報セキュリティ関連規格に示す。

BS7799-2:2000

：ISMSの英国規格

ISO/IEC17799

: ISMS具体策の国際規格

JIS X 5080

：ISMS具体策のJIS規格

ISO/IEC 15408

：IT製品セキュリティ の国際規格

ISMS 適合性評価認 定基準

JIS X 5070

：IT製品セキュリテ ィのJIS規格 IT製品の評価・認定 管理実施基準・具体策

管理システム仕様・認定

国内海外

図  2‑ 18  情報セキュリティ関連規格   

今後、組織を超えた相互認証を行う場合には、ISO/IEC 17799のようなガイ ドラインだけでは不十分であり、より具体的かつ明確な基準（クライテリア）

が必要となる。

一方、TTPを必要とする認証では、認証局の運用管理の確からしさを示す指 標としてCP（証明書ポリシー）/CPS(認証局実施規程)が存在する。この中で は、例えば、認証情報登録時の本人確認方法について明示し、なりすましによ る登録を排除するといった厳格な運用方法を規定している。TTPを必要とする 認証システムの運用上の枠組みについては、「3.8.1 CP/CPS」で詳しく述べる こととする。