評価・認証の流れ 詳細1/3

事前準備

1 TOE（評価対象）・EAL（評価保証レベル）の決定

• TOE（評価対象）の範囲、及びEAL（評価保証レベル）を特定します。
  ISO/IEC 15408（CC）では、評価対象であるIT製品/システムのことをTOE (Target of Evaluation) と呼びます。
  また、評価保証のレベルをEAL (Evaluation Assurance Level) と呼びます。
  TOEの範囲、EALが、消費者にどのようにかかわってくるのか考慮し決定します。
  TOEの範囲、EALは、テストの範囲に関係してきます。
  つまり、テストの範囲が広がればそれだけ評価に係る時間・コストの増加につながります。
• TOEの範囲やEALを決めるにあたり、事前に競合他社のセキュリティ対応 （認証取得の有無、セキュリティ機能の対応状況）を調べておくとよいでしょう。

• 認証取得状況は、下記より調べることができます。

• 日本の認証製品リスト

• 世界の認証取得製品リスト

• 「セキュリティ機能と保証レベル」をご参照ください。
• TOEの動作上関係するOSのバージョンやハードウエアなどの組合せのうち、 TOEとする（認証取得時に公表する）ものは全て、評価機関によりテストされなければなりません。どの組合わせをTOEとするのか特定が必要です。

2 ST（セキュリティターゲット）の準備

• ST（セキュリティターゲット：セキュリティの基本仕様）を作成するにあたり、TOEの範囲、TOEセキュリティ機能
   (TSF：TOE Security Functionality)、TOEセキュリティ機能によって作成された、あるいはTOEセキュリティ機能の動作のために作成されたデータ （TSFデータ）で、その動作に影響を与える可能性のあるデータを特定する必要があります。
  

• TOE（評価対象）が想定する脅威、運用に必要な管理及び環境、脅威に対抗するセキュリティ機能、それらの十分性の根拠を系統的に説明します。正確に脅威分析を行い脅威を洗い出し、前提、脅威、環境など、ストーリーに矛盾のないプロットを練ります。

• 申請段階でSTの完成度が低いと、評価での手戻りにより評価期間が大幅に増加します。評価の最初の段階でSTを完成させる必要があります。完成したSTに基づいて評価が実施されます。

• 開発過程において実装の詳細は変更されることもあります。ただし4章「セキュリティ対策方針」までは十分な検討がなされている必要があります。（「ST作成に関する説明会」資料をご参照ください。）

• ST作成の作業自体は、コンサルティングサービスを活用することも可能です。

• 作成したSTは、申請者の希望により「認証製品リスト」に掲載されます。

• JISECの各種講座や評価機関において、ST作成に関する教育が行われています。評価機関における教育については、各機関にお問い合わせください。

3 スケジュールの検討

• 認証取得希望時期、それは商品発売前か発売後かなど、おおよその計画を立てます。
  開発と並行して認証取得を目指すのであれば、評価サポート業務への開発リソースの割当てや、設計と認証取得において互いに作業遅延があった場合の影響なども考慮しておく必要があります。
  また、評価の段階での指摘事項、例えば脆弱性が見つかり開発にフィードバックすることになった場合には、開発スケジュールに影響が生じることを想定してください。
• 製品/システム発売後の認証取得においては、例えば脆弱性が発生した場合にはどのような対応の選択肢があるのか、考えておきます。

4 開発証拠資料の準備

• 評価に際しては、評価の対象となるIT製品/システムの他に、開発で使用した設計文書、テスト関連の文書、管理者ガイダンス、 利用者ガイダンス、構成管理などの証拠資料が必要になります。また、EALによって必要な資料類が異なります。TOE設計資料のみならず、消費者の受け取ったTOE が評価済みバージョンのTOE と正確に一致することを保証するための手続の資料や、TOE及びそれに関係する設計情報を干渉や暴露から保護するための手段に関する資料なども、EALにより評価証拠資料として求められます。

• 既に求められる評価証拠資料が存在すれば新規に作成する必要はありませんが、評価に十分な詳細をもたない場合には補足や改訂などが必要となります。また、評価作業を開始してから、評価に必要な証拠資料が揃っていない場合は、評価作業が中断あるいは停止することもありますので、事前に評価の範囲については精査をしておく必要があります。

• JISECでは、開発証拠資料作成に関する教育を行っています。また、過去に開催されたセミナーの資料が掲載されていますのでご参照ください。

• フランス認証機関より教育目的として提供されている開発証拠資料サンプルの一部（日本語訳）です。サンプルはあくまでも教育目的として提供されているものであり、実際にCC評価・認証を経た証拠資料の実例ではありません。日本の評価機関によるレビューの結果、幾つかの問題点が指摘されています。開発証拠資料のイメージを把握するためにご利用ください。

評価依頼

5 評価機関の決定

• 認証機関へ申請する前までに、評価機関を決定してください。
  評価機関が承認を受けた評価保証レベル (EAL) を確認し、日程や費用を調整のうえ、評価機関を選択してください。
  

• 特に評価機関が評価対象とする製品分野の専門的知識を有するか、十分な評価リソースを有するかは、評価作業全体の品質及び期間に大きく影響を与えます。 評価機関の選択にあたっては、評価機関の設備や評価者スキルについて訪問やヒアリングによって申請者自らが確認を行うことが大切です。

6 契約・秘密保持契約

• 申請者と評価機関における契約に関しては、評価機関にご相談ください。EALによって異なりますが、評価の過程において、評価者はTOEの関連会社を含む開発現場や配送現場に直接赴いてセキュリティ事項の確認を行うことがあります。詳細は制度における追補情報をご参照ください。

認証申請

申請手順等の詳細については「認証申請手続」をご参照ください。

7～9 申請手続

• 7.⑤「評価用提供物件のリスト、提供スケジュール」とは、申請者が評価のために評価者に提供する開発証拠資料のリストと、それらの資料の提供スケジュールのことです。

• 8.申請者の要請に基づき、申請案件毎に秘密保持契約 (CCM-02-A 様式12-1) を締結します。申請者以外でNDA契約が必要な場合は(CCM-02-A 様式12-2)を使用ください。必要であれば、別途、秘密保持に係る覚書を締結することができますが、その際は十分余裕を持ってご相談ください。

• 9.「評価作業実施計画書」(CCM-02-A 様式4) は、評価機関が作成し、申請者の承認を得ます。 「評価の公平性及び独立性チェックリスト」(CCM-02-A 様式5-1及び様式5-2) も評価機関が作成します。

• 7. ～9. の資料をまとめて、申請者が認証機関へ提出します。請求書が届きましたら、申請手数料を振り込みます。