![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
「.NET 開発基盤部会 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。
TCSEC（Trusted Computer System Evaluation Criteria）など
を元に策定されたCommon Criteria（CC）と呼ばれる評価基準を定めている。
製品およびシステムのセキュリティを確保するための枠組みを示す。
| # | 機能クラス | 略称 | 概要 |
| 1 | セキュリティ監査（Security Audit） | FAU | セキュリティ・イベント情報の認識 / 記録 / 保存 / 分析の要件 |
| 2 | 通信（Communication） | FCO | 通信の参加者の識別の保証する否認防止に関する要件 |
| 3 | 暗号サポート（Cryptographic Support） | FCS | 各種暗号操作の要件 |
| 4 | 利用者データ保護（User Data Protection） | FDP | アクセス制御、フロー制御、利用者データの保護 （入出力時のセキュリティ属性保護、転送時の機密性保護）の要件 |
| 5 | 識別と認証（Identity And Authentication） | FIA | 利用者のIDの確立と検証の要件 |
| 6 | セキュリティ管理（Security Management） | FMT | セキュリティ属性、機能に関するデータの管理に関する要件 |
| 7 | プライバシー（Privacy） | FPR | 他社によるIDの発見・悪用の防止に関する要件 |
| 8 | TOEセキュリティ機能の保護（Protection of the TOE） | FPT | セキュリティ関連のメカニズムと内部データの正当性及び保護に関する要件 |
| 9 | 資源利用（Resource Utilisation） | FRU | 資源の耐障害性、優先度制御、資源割当に関する要件 |
| 10 | TOEアクセス（TOE Access） | FTA | 利用者とTOE間のセッション確立の制御に関する要件 |
| 11 | 高信頼パス/チャネル（Trusted Path/Channel） | FTP | 利用者とTOE間の高信頼性通信路に関する要件 |
| # | 保証クラス | 略称 | 概要 |
| 1 | プロテクションプロファイル評価（Protection Profile Evaluation） | APE | PPが正しく記述されていることを検査 |
| 2 | セキュリティターゲット評価（Security Target Evaluation） | ASE | STが正しく記述されていることを検査 |
| 3 | 開発（Development） | ADV | STに従って設計書が正しく記述されていることを検査 |
| 4 | ガイダンス文書（Guidance Document） | AGD | マニュアルに（TOEをセキュアな状態で使用するために） 必要な事項が適切に記述されていることを検査 |
| 5 | ライフサイクルサポート（Lifecycle Support） | ALC | 開発から保守に使用する手続きがセキュアで適切に行われたことを検証 |
| 6 | テスト（Tests） | ATE | TOEがST記述、設計書仕様に従うかどうかを、開発者自身と評価者のテストにより検証 |
| 7 | 脆弱性評定（Vulnerability assessment） | AVA | 脆弱性に関して、運用環境で問題のないレベルであることを検証する。 |
| 8 | 統合（Composition） | ACO | 統合 TOE が、すでに評価されたソフトウェア、ファームウェア、ハードウェアの コンポーネントが提供するセキュリティ機能性に依存する場合に セキュアに動作するという信頼を提供するために策定された保証要件を特定 |
| # | レベル | 概要 | 要求と効果 | |
| 1 | EAL1 | 機能テスト | 特定の機能の要件が対処されていることを最小の費用で評価できるため、 セキュリティへの脅威が重大ではない場合に適用される。 | 保証の増加を提供する。 |
| 2 | EAL2 | 構造テスト | 低レベルから中レベルの保証されたセキュリティを要する、 開発資料を提供できないようなレガシー・システムの 安全性を確保するようなケースに適用される。 | EAL1の保証に加え、 開発者テスト、評価者テストを要求 |
| 3 | EAL3 | 方式テスト及びチェック | 中レベルの保証されたセキュリティを要する環境で、 TOEとその開発の完全な調査を要する状況に適用される。 | EAL2の保証に加え、 テストの網羅性や開発時の TOE改竄防止メカニズムや手続を要求 |
| 4 | EAL4 | 方式設計、テスト及びレビュー | 中レベルの保証されたセキュリティを要する既存の商用製品の開発で エンジニアリングコストの追加を受け入れられる状況で適用される。 | EAL3の保証に加え、 より多くの設計記述、実装表現、 改善されたTOE改竄防止メカニズムや手続を要求 |
| 5 | EAL5 | 準形式的設計及びテスト | 高レベルの保証されたセキュリティを要する EAL5レベルの保証をはじめから達成する意図を持って開発で、 専門的なセキュリティエンジニアリング技法の 適切なコストを負担する場合に適用される。 | EAL4の保証に加え、 準形式的な設計記述、 構造化され分析可能なアーキテクチャ、 さらに改善されたTOE改竄防止メカニズムや手続を要求 |
| 6 | EAL6 | 準形式検証済み設計及びテスト | 保護する資産の価値が高く、 保証のための追加的な開発コストを正当化するような リスクの高い状況で使用する場合に適用される。 | EAL5の保証に加え、 準形式的な検証済み設計、実装の構造化表現、 さらに広範囲に分析可能なアーキテクチャ構造、 さらに広範囲な評価者の脆弱性評定、 さらに改善された構成管理と開発環境の制御を要求 |
| 7 | EAL7 | 形式的検証済み設計及びテスト | リスクが非常に高いか、高い資産価値により、 さらに高い開発コストが正当化される場合に適用される。 | EAL6の保証に加え、 数学的検証を伴う形式的表現と対応、 広範囲のテストを使用する包括的分析を要求 |
FIPS 140 (Federal Information Processing Standardization 140)
IPAが認証機関を運営している
などの審査を正式に行う。
CMMI : Capability Maturity Model Integration（能力成熟度モデル統合）
| 連続表現のグループ | プロセス領域 | 段階表現のグループ（成熟度レベル） | |||
| プロセス管理 | OPF：組織プロセス重視 | 3 | |||
| OPD：組織プロセス定義＋IPPD | 3 | ||||
| OT：組織トレーニング | 3 | ||||
| OPP：組織プロセス実績 | 4 | ||||
| OID：組織改革と展開 | 5 | ||||
| プロジェクト管理 | PP：プロジェクト計画策定 | 2 | |||
| PMC：プロジェクトの監視と制御 | 2 | ||||
| SAM：供給者合意管理 | 2 | ||||
| IPM：統合プロジェクト管理+IPPD | 3 | ||||
| RSKM：リスク管理 | 3 | ||||
| QPM：定量的プロジェクト管理 | 4 | ||||
| エンジニアリング | RD：要件開発 | 3 | |||
| REQM：要件管理 | 2 | ||||
| TS：技術解 | 3 | ||||
| PI：成果物統合 | 3 | ||||
| VER：検証 | 3 | ||||
| VAL：妥当性確認 | 3 | ||||
| 支援 | CM：構成管理 | 2 | |||
| PPQA：プロセスと成果物の品質保証 | 2 | ||||
| MA：測定と分析 | 2 | ||||
| DAR：決定分析と解決 | 3 | ||||
| CAR：原因分析と解決 | 5 | ||||
│組織に強い
│
│
（CSF） │ （ISMS）
│
サイバー攻撃対応に特化 │
────────────┼────────────
│ 情報セキュリティ全般
│
（CIS Controls） │ （PCI DSS）
│
│
│技術に強い
コンピュータセキュリティ
インシデント対応ガイド
(Digital Authentication Guideline)
https://pages.nist.gov/800-63-3/
| # | Document | Title | URL |
| 1 | SP 800-63-3 | Digital Identity Guidelines | https://doi.org/10.6028/NIST.SP.800-63-3 |
| 2 | SP 800-63A | Enrollment and Identity Proofing | https://doi.org/10.6028/NIST.SP.800-63a |
| 3 | SP 800-63B | Authentication and Lifecycle Management | https://doi.org/10.6028/NIST.SP.800-63b |
| 4 | SP 800-63C | Federation and Assertions | https://doi.org/10.6028/NIST.SP.800-63c |
NIST定義の組合せは以下の通り。
