IPA 政府統一基準に基づく「ST確認」で要求する保証コンポーネント明確化

　こんにちは、丸山満彦です。IPAのITセキュリティ評価及び認証制度（JISEC）から政府統一基準4.3.1「情報システムのセキュリティ要件 (1)情報システム計画・設計 (d)」で要求されているST評価、ST確認で要求する保証コンポーネントが公表されています。

　
■IPA JEIEC（ITセキュリティ評価及び認証制度）
・2006.01.31 「ST確認」 に係わる保証コンポーネントの明確化について

■内閣官房 情報セキュリティセンター（NISC)
・政府統一基準2005年12月版
・政府統一基準2005年12月版解説書

＝＝＝＝＝
4.3 情報システムのセキュリティ要件
4.3.1 情報システムのセキュリティ要件
(1) 情報システム計画・設計
(d) 情報システムセキュリティ責任者は、構築する情報システムに重要なセキュリティ要件があると認めた場合には、当該情報システムのセキュリティ機能の設計について第三者機関によるセキュリティ設計仕様書（ST：Security Target）のST 評価・ST 確認を受けること。ただし、情報システムを更改する場合であって、見直し後のセキュリティ設計仕様書において重要なセキュリティ要件の変更が軽微であると認めたときは、この限りでない。

解説：重要なセキュリティ要件がある情報システムについては、セキュリティ機能が確実に実装されることを目的として、ISO/IEC 15408 に基づきセキュリティ設計仕様書のST 評価・ST 確認を行うことを求める事項である。
「ST 評価・ST 確認を受けること」とは、ST 評価・ST 確認がなされた状態になることを意味し、具体的な手続としては、申請と確認書入手がなされることである。情報システムの開発が終了するまでにセキュリティ設計仕様書について、ST 評価・ST 確認済みとなっている必要があるが、セキュリティ設計仕様が適切であると判断できた上で設計段階から開発段階に移るべきであることから、申請行為は設計段階のうちに行われていることが通常の手順である。
なお、情報システムの構築を外部委託する場合には、契約時に条件として含め納品までにST 評価・ST 確認を受けさせることになる。
＝＝＝＝＝

「ST確認」で要求する保証コンポーネントは
＝＝＝＝＝
・ ASEクラス
・ ADV_FSP.1（CC v2を適用する場合には、依存性からの要求で、ADV_RCR.1が追加される。）
＝＝＝＝＝
のようです。

ASEはCC Part3のセキュリティ保証要件で決められている、セキュリティ目標評価のことです。
ADVは開発過程における保証で、
ADV_FSP.1は「非形式的機能仕様」で、CC2.3では

＝＝＝＝＝
【ADV_FSP　機能仕様】
■ADV_FSP.1　非形式的機能仕様
●依存性
ADV_RCR.1 非形式的対応の実証

●開発者アクションエレメント：
ADV_FSP.1.1D 開発者は、機能仕様を提供しなければならない。

●証拠の内容・提示エレメント：
ADV_FSP.1.1C 機能仕様は、非形式的な様式で、TSF、及びその外部インタフェースを記述しなければならない。
ADV_FSP.1.2C 機能仕様は、内部的に一貫していなければならない。
ADV_FSP.1.3C 機能仕様は、効果、例外、及び誤りメッセージの詳細を適切に提供することにより、すべての外部TSFインタフェースの目的と使用方法を、記述しなければならない。
ADV_FSP.1.4C 機能仕様は、完全にTSFを表現しなければならない。

●評価者アクションエレメント：
ADV_FSP.1.1E 評価者は、提供された情報が、証拠の内容・提示に対するすべての要件を満たしていることを確認しなければならない。
ADV_FSP.1.2E 評価者は、機能仕様が、TOEセキュリティ機能要件の正確かつ完全な具体化であることを決定しなければならない。

【ADV_RCR　表現対応】
■ADV_RCR.1　非形式的対応の実証

●開発者アクションエレメント：
ADV_RCR.1.1D 開発者は、提供するTSF表現の隣接するすべての組の間の対応の分析を提供しなければならない。

●証拠の内容・提示エレメント：
ADV_RCR.1.1C 提供されたTSF表現の隣接する各々の組に対し、分析は、より抽象度の高いTSF表現のすべての関連するセキュリティ機能性が、抽象度の低いTSF表現に、正確かつ完全に詳細化されていることを実証しなければならない。

●評価者アクションエレメント：
ADV_RCR.1.1E 評価者は、提供された情報が、証拠の内容・提示に対するすべての要件を満たしていることを確認しなければならない。

＝＝＝＝＝

TSFは、評価対象のセキュリティ機能（TOE Security Functions）のことです。

＝＝＝＝＝
コモンクライテリア（CC）＠IPA

●V2.3
・英語 Common Criteria for Information Technology Security Evaluation Version 2.3
・・Part1: Introduction and general model
・・Part2: Security functional requirements
・・Part3: Security assurance requirements

・日本語訳　情報技術セキュリティ評価のためのコモンクライテリア バージョン2.3
・・パート1: 概説と一般モデル
・・パート2: セキュリティ機能要件
・・パート3: セキュリティ保証要件

・補足-0512 (Interpretations-0512)

＝＝＝＝＝