5.3.2. 環境やIT セキュリティ評価の標準

<< 5.3.1. 開発プロセス，取引プロセスの標準化

1. 概要

　環境やITセキュリティ評価の標準は、現代の情報社会において企業や組織が持続可能な発展を遂げるために不可欠な要素です。環境マネジメントシステムに関する国際標準であるISO 14000シリーズは、組織が環境への負荷を低減し、環境パフォーマンスを継続的に改善するための枠組みを提供します。一方、ITセキュリティ評価の標準であるISO/IEC 15408（コモンクライテリア）は、IT製品やシステムのセキュリティ機能を客観的に評価するための基準を定めています。

　これらの標準は、単なる認証取得のためのツールではなく、組織の経営戦略や事業継続性に直結する重要な管理システムとして位置づけられています。環境配慮とセキュリティ確保は、企業の社会的責任（CSR）やステークホルダーからの信頼獲得においても重要な役割を果たします。本記事では、これらの標準の基本概念から実装方法、そして応用情報技術者試験で求められる知識レベルまでを体系的に解説します。

2. 詳細説明

2.1 ISO 14000シリーズの構成と特徴

　ISO 14000シリーズは、環境マネジメントシステム（EMS: Environmental Management System）に関する国際標準群です。中核となるISO 14001は、PDCAサイクル（Plan-Do-Check-Act）を基本とした継続的改善のフレームワークを提供します。組織は環境方針を策定し、環境側面と環境影響を特定・評価した上で、環境目標と実施計画を立案します。

　ISO 14001の要求事項には、トップマネジメントのリーダーシップ、リスク及び機会への取組み、順守義務の特定と評価、環境パフォーマンスの監視・測定などが含まれます。また、ライフサイクル思考の導入により、製品やサービスの設計段階から廃棄・リサイクルまでの全過程における環境影響を考慮することが求められています。

graph TD
    subgraph "統合マネジメントシステム"
        subgraph "Plan（計画）"
            A1[環境方針・情報セキュリティ方針の策定]
            A2[環境目標・セキュリティ目標の設定]
            A3[リスクアセスメント
・環境側面評価
・情報資産脅威分析]
            A4[統合管理手順の策定]
        end
        
        subgraph "Do（実施・運用）"
            B1[環境・セキュリティ要員の教育]
            B2[運用管理
・環境影響管理
・アクセス制御]
            B3[緊急時対応
・環境事故対応
・セキュリティインシデント対応]
            B4[文書管理・記録管理]
        end
        
        subgraph "Check（監視・測定）"
            C1[パフォーマンス評価
・環境パフォーマンス
・セキュリティ有効性]
            C2[コンプライアンス評価]
            C3[内部監査
・統合監査の実施]
            C4[マネジメントレビュー]
        end
        
        subgraph "Act（改善）"
            D1[不適合・インシデントの処理]
            D2[是正措置・予防措置]
            D3[継続的改善
・システムの見直し]
        end
    end
    
    subgraph "外部要因"
        E1[法規制要求事項
・環境法規
・個人情報保護法]
        E2[利害関係者要求
・顧客
・監督官庁]
        E3[リスク・機会
・気候変動
・サイバー攻撃]
    end
    
    subgraph "共通基盤"
        F1[リーダーシップ・コミットメント]
        F2[組織の状況把握]
        F3[利害関係者のニーズ特定]
        F4[統合的リスク管理]
    end
    
    %% フロー
    A1 --> A2 --> A3 --> A4
    A4 --> B1 --> B2 --> B3 --> B4
    B4 --> C1 --> C2 --> C3 --> C4
    C4 --> D1 --> D2 --> D3
    D3 --> A1
    
    %% 外部との関係
    E1 --> A3
    E2 --> A2
    E3 --> A3
    
    %% 共通基盤との関係
    F1 --> A1
    F2 --> A3
    F3 --> A2
    F4 --> A3
    
    %% 統合管理の矢印
    A4 -.->|統合計画| B2
    C3 -.->|統合監査| D2
    D3 -.->|統合改善| A4
    
    %% スタイル
    classDef planStyle fill:#e1f5fe
    classDef doStyle fill:#f3e5f5
    classDef checkStyle fill:#fff3e0
    classDef actStyle fill:#e8f5e8
    classDef externalStyle fill:#fce4ec
    classDef baseStyle fill:#f5f5f5
    
    class A1,A2,A3,A4 planStyle
    class B1,B2,B3,B4 doStyle
    class C1,C2,C3,C4 checkStyle
    class D1,D2,D3 actStyle
    class E1,E2,E3 externalStyle
    class F1,F2,F3,F4 baseStyle

2.2 ISO/IEC 15408（コモンクライテリア）の評価体系

　ISO/IEC 15408は、IT製品やシステムのセキュリティ機能を評価するための国際標準で、一般に「コモンクライテリア（CC: Common Criteria）」と呼ばれています。この標準は、セキュリティ機能要件（SFR）とセキュリティ保証要件（SAR）の2つの観点から製品を評価します。

　評価保証レベル（EAL: Evaluation Assurance Level）は、EAL1（機能テスト）からEAL7（形式的に検証された設計およびテスト）まで7段階に分類されており、数字が大きいほど厳密な評価が行われます。評価対象（TOE: Target of Evaluation）のセキュリティ機能は、セキュリティターゲット（ST）と呼ばれる文書に記述され、これに基づいて第三者認証機関による評価が実施されます。

2.3 JIS Q 27001（ISMS）との関連性

　情報セキュリティマネジメントシステム（ISMS）の国際標準であるISO/IEC 27001（JIS Q 27001）は、組織の情報セキュリティを体系的に管理するための要求事項を定めています。ISMSは、情報の機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）を保護することを目的とし、リスクアセスメントに基づいた管理策の選択と実施を特徴とします。

　ISMSとISO/IEC 15408の関係において、ISMSが組織全体のセキュリティ管理体制を構築するのに対し、ISO/IEC 15408は個別のIT製品やシステムのセキュリティ機能を評価する役割を担います。両者は相互補完的な関係にあり、組織のセキュリティ態勢を多層的に強化する仕組みとなっています。

3. 実装方法と応用例

3.1 環境マネジメントシステムの導入プロセス

　ISO 14001に基づく環境マネジメントシステムの導入は、一般的に以下のステップで進められます。まず、現状分析（初期環境レビュー）を実施し、組織の環境側面と適用される法規制を特定します。次に、トップマネジメントが環境方針を策定し、環境目標と実施計画を立案します。

　実装段階では、環境管理責任者の任命、従業員への教育訓練、文書管理体制の構築、運用管理手順の確立などが行われます。内部監査とマネジメントレビューを通じて、システムの有効性を評価し、継続的改善を図ります。多くの組織では、認証取得までに6ヶ月から1年程度の準備期間を要します。

3.2 セキュリティ評価の実施例

　金融機関のオンラインバンキングシステムにおけるISO/IEC 15408評価の例を考えてみましょう。評価対象となるシステムは、顧客認証、取引処理、データ暗号化などの機能を持ちます。セキュリティターゲットでは、想定される脅威（不正アクセス、データ改ざん、サービス拒否攻撃など）と対抗するセキュリティ機能を明確に定義します。

　EAL4レベルの評価では、設計文書の詳細なレビュー、ソースコードの一部検査、脆弱性分析、侵入テストなどが実施されます。評価プロセスは通常3～6ヶ月を要し、認証取得後も定期的な監査が必要となります。この認証は、顧客や規制当局に対してシステムのセキュリティレベルを客観的に示す証明となります。

flowchart TD
    A[評価申請開始] --> B[セキュリティターゲット_ST_作成]
    B --> C{EALレベル選択}
    C -->|EAL1-3| D1[基本的評価準備]
    C -->|EAL4-5| D2[詳細評価準備]
    C -->|EAL6-7| D3[厳密評価準備]
    
    D1 --> E[評価機関への申請]
    D2 --> E
    D3 --> E
    
    E --> F[評価プロセス開始]
    F --> G[設計文書レビュー]
    G --> H{EALレベル別評価}
    
    H -->|EAL1-3| I1[機能テスト]
    H -->|EAL4-5| I2[ソースコード検査
脆弱性分析]
    H -->|EAL6-7| I3[形式的検証
完全ソースコード分析]
    
    I1 --> J[侵入テスト]
    I2 --> J
    I3 --> J
    
    J --> K[評価報告書作成]
    K --> L[認証機関による審査]
    L --> M{審査結果}
    
    M -->|合格| N[認証発行]
    M -->|不合格| O[改善要求]
    O --> P[改善実施]
    P --> F
    
    N --> Q[定期監査]
    Q --> R{監査結果}
    R -->|問題なし| S[認証維持]
    R -->|問題あり| T[是正措置]
    T --> Q
    S --> Q
    
    subgraph タイムライン
        U[準備期間_1-2ヶ月]
        V[評価期間_3-6ヶ月]
        W[認証審査_1ヶ月]
        X[定期監査_年1回]
    end

4. 例題と解説

例題1

ISO 14001:2015の要求事項に含まれないものはどれか。

ア　組織の状況の理解
イ　リーダーシップとコミットメント
ウ　製品の品質管理
エ　環境パフォーマンスの評価

解答：ウ

解説：
　ISO 14001は環境マネジメントシステムの標準であり、製品の品質管理は対象外です。品質管理はISO 9001の範囲となります。ISO 14001:2015では、組織の状況の理解（箇条4）、リーダーシップとコミットメント（箇条5）、環境パフォーマンスの評価（箇条9）がすべて要求事項として含まれています。

例題2

ISO/IEC 15408（コモンクライテリア）の評価保証レベル（EAL）について、正しい記述はどれか。

ア　EAL1は最も厳密な評価レベルである
イ　EALの数字が大きいほど、評価の厳密さが増す
ウ　すべてのIT製品はEAL7の評価を受ける必要がある
エ　EALは製品の機能の多さを示す指標である

解答：イ

解説：
　評価保証レベル（EAL）は1から7まであり、数字が大きいほど評価の厳密さが増します。EAL1は最も基本的なレベルで、EAL7が最も厳密です。必要なEALレベルは製品の用途や重要度により異なり、すべての製品がEAL7を必要とするわけではありません。EALはセキュリティ保証の深さを示すものであり、機能の多さとは関係ありません。

5. まとめ

　環境やITセキュリティ評価の標準は、組織の持続可能な発展とリスク管理において重要な役割を果たします。ISO 14000シリーズは環境負荷の低減と継続的改善を、ISO/IEC 15408はIT製品のセキュリティ機能の客観的評価を可能にします。これらの標準は、単なる認証取得のためのツールではなく、組織の競争力強化と社会的責任の履行に貢献する戦略的な管理システムです。応用情報技術者試験では、各標準の基本概念、要求事項、評価プロセスを理解し、実務での適用方法を説明できることが求められます。

5.4. ソフトウェアの標準 >>

ご利用上のご注意

　このコンテンツの一部は、生成AIによるコンテンツ自動生成・投稿システムをもちいて作成し、人間がチェックをおこなった上で公開しています。チェックは十分に実施していますが、誤謬・誤解などが含まれる場合が想定されます。お気づきの点がございましたらご連絡いただけましたら幸甚です。