解説

CC（Common Criteria）は、情報技術セキュリティ評価のための国際標準規格です。ITセキュリティ製品・システムのセキュリティ機能の仕様と評価方法を定めており、ISO/IEC 15408として標準化されています。CCは製品のセキュリティ要件を記述するST（Security Target）やPP（Protection Profile）、評価保証レベル（EAL：Evaluation Assurance Level）などの概念を持ちます。EALはEAL1からEAL7まであり、数字が高いほど厳密な評価を意味します。ISO/IEC 27017はクラウドサービスのセキュリティ管理策のガイドライン、ISO/IEC 27002は情報セキュリティ管理策の実践のための規範、ISO/IEC 30147はIoTセキュリティに関する規格です。

なぜ他の選択肢は違うのか

選択肢 イ

ISO/IEC 27017はクラウドサービス向けの情報セキュリティ管理策に関するガイドラインです。ISO/IEC 27002に基づきクラウド特有のリスクと管理策を追加した規格で、ITセキュリティ評価（CC）とは異なります。

選択肢 ウ

ISO/IEC 27002は情報セキュリティ管理策の実践のための規範（code of practice）を定めた規格です。組織が情報セキュリティ管理策を選択・実施する際のガイドラインで、製品評価のためのCCとは性質が異なります。

選択肢 エ

ISO/IEC 30147はIoTシステムのセキュリティに関する規格で、IoT製品・システムのセキュリティ要件や設計原則を定めています。ITセキュリティ評価規格であるCCとは異なります。

解くときのポイント

CC（Common Criteria）＝ISO/IEC 15408。製品のセキュリティ評価規格。EAL1〜7の評価保証レベルが特徴。