IT製品の調達におけるセキュリティ要件リスト活用ガイドブック

 平成25年6月に情報セキュリティ政策会議で決定された「サイバーセキュリティ2013」では、政府機関における、安全性・信頼性の高いIT製品等の利用推進が求められています。これを受け、経済産業省とIPAが共同で作成した「IT製品の調達におけるセキュリティ要件リスト（第1版）」が平成26年5月に経済産業省から公開され、今般
その第2版が公表されました。

「IT製品の調達におけるセキュリティ要件リスト」はデジタル複合機、ファイアウォール等の製品分野毎に考慮すべきセキュリティ上の脅威とそれに対抗するためのセキュリティ要件をまとめたものです。政府機関だけでなく一般企業、組織等で前述の分野の製品を調達する際、想定される脅威に対抗できる製品の調達に活用することができます。

しかし「IT製品の調達におけるセキュリティ要件リスト」は、いわば辞書的な役割を担っており、関連する周辺情報や詳細な注意点、想定される例外事項に対する考え方などは記載されていません。そこで、IPAでは「IT製品の調達におけるセキュリティ要件リスト」を補完するために、「ガイドブック」を提供しています

「IT製品の調達におけるセキュリティ要件リスト活用ガイドブック」の内容

資料のダウンロード

• IT製品の調達におけるセキュリティ要件リスト活用ガイドブックPDFファイル）（更新日：2018年2月）(PDF:1.1 MB)

「IT製品の調達におけるセキュリティ要件リスト」適合製品情報

製品分野ごとの適合製品情報ページ

• デジタル複合機（MFP）
• ファイアウォール
• 不正侵入検知/防止システム（IDS/IPS）
• OS（サーバOS に限る）
• データベース管理システム（DBMS）
• 暗号化USBメモリ
• ルータ／レイヤ3スイッチ
• ドライブ全体暗号化システム
• モバイル端末管理システム
• 仮想プライベートネットワーク（VPN）ゲートウェイ

本情報は、ISO/IEC15408(Common Criteria)認証取得製品の内、「IT製品の調達におけるセキュリティ要件リスト」に記載されている「国際標準に基づくセキュリティ要件」（Protection Profile）に適合していることが認証された製品をピックアップし掲載しています。
製品調達時の対象製品の確認などにご活用ください。
ピックアップは以下の情報を対象として行っています。

• 日本の評価認証制度であるJISECでの認証製品(JISECのポータルサイトに掲載)
  • 認証製品リスト
• CCRA加盟各国の認証製品(CCRAポータルサイトに掲載)
  • https://www.commoncriteriaportal.org/products/index.cfm

CCRA加盟国の認証取得製品は、表中の備考欄にCCRAと記述しています。 また、備考欄にアーカイブと記述されている製品は、各ポータルサイトにおいてアーカイブリストに移行された 製品であることを示します。 アーカイブリストは、各国の認証機関の判断により、認証取得後一定期間経過した製品を掲載するリストです。 日本の場合は、認証取得から5年経過した製品、および、供給者による販売が終了した製品が掲載されます。

• JISECのアーカイブリスト
  • 認証製品アーカイブリスト
• CCRAのアーカイブリスト
  • https://www.commoncriteriaportal.org/products/index.cfm?archived=1

アーカイブされた製品の調達に際しては、製品購入の可否等について各製品販売元へ確認をお願いします。
なお、本情報に掲載されていないISO/IEC15408(Common Criteria)認証取得製品であっても、「IT製品の調達におけるセキュリティ要件リスト」に記載されている「国際標準に基づくセキュリティ要件」と同等以上のセキュリティ要件で認証を取得している場合があります。

そのような製品を調達対象とする場合には、「IT製品の調達におけるセキュリティ要件リスト活用ガイドブック」をご参照ください。