■

解説：テクニカル(ネットワーク)向け

　セキュリティ対策に関連する標準又は規格に関する記述のうち，適切なものは
どれか。

　ア　ISO 15408 は，セキュリティ組織から設備管理に及ぶ運用管理全体の規約
　　を定めた運用管理基準であり，アクセス制御も評価対象とする。

　イ　ISO 17799 は，製品やシステムのセキュリティ機能及び実装のレベルを技
　　術面から評価する技術評価基準である。

　ウ　RFC は，インターネットの各種技術の標準化を進めている任意団体 IETF
　　が発行する技術仕様書であり，セキュリティ分野には RADIUS や LDAP の要
　　求仕様がある。

　エ　X.509　は，XML文書の暗号化とディジタル署名関連の規格であり，Web 関
　　連技術における HTTP や HTML の標準化を行う任意団体 W3C が任意団体
　　IETF と協力して定めたものである。

■キーワード■　セキュリティ標準，セキュリティ規格，RFC(Request For Comment)

■解答■
　　テクニカルエンジニア(ネットワーク)午前平成１５年問５０

　ウ　RFC は，インターネットの各種技術の標準化を進めている任意団体 IETF
　　が発行する技術仕様書であり，セキュリティ分野には RADIUS や LDAP の要
　　求仕様がある。

> ア　×　ISO 17799の説明。
> イ　×　ISO 15408の説明。
> ウ　○
> エ　×　勧告したのはITU(国際電気通信連合)。

　どうもありがとうございました。

> RFC：Request For Comment
> インターネットに関する技術の標準を定めるIETFが正式に発行する文書。
> IP（RFC791）、TCP（RFC793）、HTTP（RFC2616）、FTP（RFC959）などインターネッ
> ト
> で利用されるプロトコルや、その他インターネットに関わるさまざまな技術の仕様
> ・
> 要件を、通し番号をつけて公開している。
> こちらより抜粋しました。→http://e-words.jp/w/RFC.html
> 毎年、エイプリルフールには世界情勢等を皮肉ったりしたジョークRFCが発表される
> そうです。ジョークRFCの日本語訳はこちら
> →http://www.imasy.or.jp/~yotti/rfc-joke.html

　どうもありがとうございました。

> ISO/IEC 15408
> ISO/IEC 15408とは、情報技術セキュリティ評価の国際標準のことです。情報
> 技術セキュリティの観点から、情報技術に関連した製品およびシステムが適切
> に設計され、その設計が正しく実装されているかどうかを評価するためのセキュ
> リティ基準です。1999年12月にISO/IEC規格として発行されました。
> 規格は
> パート1:概説と一般モデル
> パート2:セキュリティ機能要件
> パート3:セキュリティ保証要件
> から構成されます。
> http://www.mitsue.co.jp/case/glossary/p_055.html
>
> ISO/IEC 17799
> 英国規格である「BS7799」という規格を基に策定されており、ISO化された
> （国際基準化された）ものがISO/IEC17799である。そしてISO/IEC17799が日本
> 語に翻訳され、日本工業規格（JIS化）として策定されたものが、JIS X5080で
> ある。ISO/IEC 17799およびJIS X 5080は、共に情報セキュリティ管理実施基
> 準、すなわち実践のためのガイド（規範）であり、認証のための基準ではない。
> http://www.atmarkit.co.jp/fsecurity/rensai/guide01/guide01.html
>
> X.509　
> 読み方 ： エックスゴーマルキュー
> 　電子鍵証明書および証明書失効リスト(CRL)の標準仕様。ITU(国際電気通信
> 連合)が1988年に勧告した。
> 　現在広く用いられているのは1996年に勧告された X.509v3で、これは証明書
> に拡張領域を設けて、証明書の発行者が独自の情報を追加できるようになって
> いる。
> 　X.509v3は電子証明書は公開鍵のバージョン番号、証明書のシリアル番号、
> 公開鍵情報、証明書を発行した認証局情報、証明書の有効期間、証明される主
> 体者の情報、拡張領域といった項目で構成される。拡張領域には電子メールア
> ドレスやIPアドレスなどといった情報を用いることができる。
> 　X.509v3 はSSLやTLSなどといったインターネット上における暗号化、プライ
> バシー保護の手段として様々な状況下で利用されている。
> http://e-words.jp/w/X.509.html

　どうもありがとうございました。

> ISO 15408
> http://www.blwisdom.com/word/key/0137.html
> 「ISO/IEC JTC1(ISOとIECの合同技術委員会)が作成した、国際セキュリティ評価
> 基準。情報処理システムや製品の開発・製造・運用にかかわる要素を検査し、そ
> のセキュリティ水準をEALと呼ばれる7段階のレベルで保証するもの。その7段階
> とは、(1)機能テストの保証、(2)構造テストの保証、(3)系統的テストおよび確
> 認の保証、(4)系統的計画、テスト、レビューの保証、(5)準形式的設計とテスト
> の保証、(6)準形式的な設計の検証とテストの保証、(7)形式的な設計の検証およ
> びテストの保証である。」

　どうもありがとうございました。

                                                                                                                                              • -