アカウント名:
パスワード:
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
皆さんもソースを読むときに、行と行の間を読むような気持ちで見てほしい -- あるハッカー
ISO/IEC15408認証(CC） (スコア:3, 参考になる)
情報システム/製品のセキュリテイ評価/認証が行われています。
ITセキュリティ評価及び認証制度（JISEC）
http://www.ipa.go.jp/security/jisec/index.html
電子政府ということで日本政府としても下記施策を実施しており、実際の認証取得がどの程度広がるか興味/心配があります。
・政府調達の情報システムについてセキュリテイ要件としてCC取得が必須要件になる。
・情報基盤強化税制として認証済機器(OS/DBMS/FW)購入で税制上措置が講じられた。
現時点の認証済み機器は、デジタル複合機が大半のようですが、
今後、どの程度広
WindowsXP-SP2は認証取得済 (スコア:2, 興味深い)
http://www.microsoft.com/japan/technet/security/news/isoiec15408.mspx
>Windows XP Professional SP2 EAL4+ 2005 年 11 月
>Windows Server 2003 (Standard, Enterprise, Datacenter) EAL4+ 2005 年 11 月
↑について気になった点があります。誰か教えてください。
なお、認証取得機関BSIによれば、Windowsだけでなく勿論Linuxでも取得事例があります。
http://www.bsi.bund.de/zertifiz/zert/aktuelle.htm
>SUSE Linux Products GmbH
>SUSE Linux Enterprise Server 8 with service pack 3 and patches Operating System
> BSI-DSZ-CC-0371
経済産業省「IT に関する減税」
http://www.meti.go.jp/policy/it_policy/zeisei/index.html
Re:WindowsXP-SP2は認証取得済 (スコア:1)
STに対する認証は、対象のシステム･製品のセキュリティ機能の設計に関するものなので、
> 必須パッチなどの記載は無し→SP2まで当てれば後は当てなくともCC認証通ったままでいて良いのか？
> OSカーネル部分のパッチ当てたらデグレードテストしなくて良いのか？(+現状が十分テストできているのか？:-)
STに記載されたセキュリティ要件にかかわる修正であることを仮定して。
# STに記載されていない機能については関係ありません。
## と割り切れない複雑さは置いておいて。
CCでは、認証の維持などの制度についてを規定していません。
例えば日本では、認証機関において保証継続の可否を決定します(ITセキュリティ認証に係る保証継続ガイドライン [ipa.go.jp])。
CCRAに加盟してる国はどこも同じなんでしょうか。ちょっと探してみます。
> 仮にXPが認証取得できていなければ、政府調達情報システムは実質納入不能になるのか？
政府機関の情報セキュリティ対策のための統一基準 [bits.go.jp]ですね。
現に認証は取得できています。問題は今後。現実的には、落ちることも納入不能になることも考えにくいですが。
ちなみに、電子政府向けPP [ipa.go.jp]。
Re:WindowsXP-SP2は認証取得済 (スコア:1)
影響が軽微ならSTに追加情報を記載、影響が大きければ再評価。
大枠は加盟国で共通。
Re:WindowsXP-SP2は認証取得済 (スコア:1)
自分でも少し追加確認してみました。
「Windows プラットフォームの Common Criteria Certification」
http://www.microsoft.com/japan/technet/security/prodtech/windowsserver2003/ccc/default.mspx
を参照したところ、英語情報には必要なhotfix(TOE)が明記されているのに。現状の日本語情報には記載されていません。大した分量では無いのだから、TOEとして明記されている条件は日本語文書にも明記して欲しいものです。
http://www.microsoft.com/japan/technet/security/prodtech/windowsserver2003/ccc/default.mspx
#原文当たるのが当然というのはさて置いて
>STに対する認証は、対象のシステム･製品のセキュリティ機能の設計に関するものなので、
>影響が軽微ならSTに追加情報を記載、影響が大きければ再評価。
EAL*と評価されていても、セキュリティ要件に関わらない「はず」の機能修正により、各種脆弱性が結果的に追加実装されて配布される可能性は避けられないのでしょうかね。所詮はそのような余地を設計段階から減らす事の積み重ねしかできないかな。
評価項目はCEMで規定されているにせよ、人間の見落としは所詮避けられないものだし。
建設業界では構造設計の偽装や評価機関の問題が出てますが、イーホ^Hシーシーさんに評価依頼すると速くて安くCC認証取得できるから注文増えるとか、そんな事が無い様にお願いしたいものです。
#実際には利用検討するだろうが:-)
電子政府向け情報提供システムプロテクションプロファイル
http://www.ipa.go.jp/security/fy13/evalu/pp_st/e_publication_pp_v10.pdf
P11
>2.6.2. TOE に含まれない機能
>以下の機能は、本TOE に含まれない機能であるが、TOE である情報提供システムを利用するために、一般的に必要もしくは必要となる可能性のある機能である。
>
Re:WindowsXP-SP2は認証取得済 (スコア:1)