「ネット家電もウイルス対策を」記事へのコメント

ISO/IEC15408認証(CC）

[yn (3322)]

ISO/IEC15408認証(CC:Common Criteria)というのがあり、
情報システム/製品のセキュリテイ評価/認証が行われています。

ITセキュリティ評価及び認証制度（JISEC）
http://www.ipa.go.jp/security/jisec/index.html

電子政府ということで日本政府としても下記施策を実施しており、実際の認証取得がどの程度広がるか興味/心配があります。

・政府調達の情報システムについてセキュリテイ要件としてCC取得が必須要件になる。
・情報基盤強化税制として認証済機器(OS/DBMS/FW)購入で税制上措置が講じられた。

現時点の認証済み機器は、デジタル複合機が大半のようですが、
今後、どの程度広

WindowsXP-SP2は認証取得済

[yn (3322)]

情報基盤強化税制におけるマイクロソフト製品の ISO/IEC 15408 取得状況について
http://www.microsoft.com/japan/technet/security/news/isoiec15408.mspx

>Windows XP Professional SP2　 EAL4+　 2005 年 11 月
>Windows Server 2003 (Standard, Enterprise, Datacenter) EAL4+　 2005 年 11 月

↑について気になった点があります。誰か教えてください。

• 必須パッチなどの記載は無し→SP2まで当てれば後は当てなくともCC認証通ったままでいて良いのか？
• OSカーネル部分のパッチ当てたらデグレードテストしなくて良いのか？(+現状が十分テストできているのか？:-)
• 仮にXP

Re:WindowsXP-SP2は認証取得済

[strayDuck (10387)]

ちょっと日付が古いんですが、 ST[PDF] [bahialab.com]があります。

STに対する認証は、対象のシステム･製品のセキュリティ機能の設計に関するものなので、

> 必須パッチなどの記載は無し→SP2まで当てれば後は当てなくともCC認証通ったままでいて良いのか？
> OSカーネル部分のパッチ当てたらデグレードテストしなくて良いのか？(+現状が十分テストできているのか？:-)
STに記載されたセキュリティ要件にかかわる修正であることを仮定して。
# STに記載されていない機能については関係ありません。
## と割り切れない複雑さは置いておいて。

CCでは、認証の維持などの制度についてを規定していません。
例えば日本では、認証機関において保証継続の可否を決定します(ITセキ [ipa.go.jp]

Re:WindowsXP-SP2は認証取得済

[strayDuck (10387)]

ポカでした。Assurance Continuity: CCRA Requirements [bahialab.com] に書いてありますね。
影響が軽微ならSTに追加情報を記載、影響が大きければ再評価。
大枠は加盟国で共通。