1. 導入：なぜ今「コモンクライテリアプロフェッショナル」が重要なのか
現代のITシステム開発において、製品の「セキュリティ品質」を客観的に証明することは、官公庁や重要インフラ向けベンダーにとって必須の要件となっています。しかし、国際標準である「コモンクライテリア（CC）」の評価プロセスは非常に複雑で専門性が高く、社内で適切にハンドリングできる人材は不足しています。
「コモンクライテリアプロフェッショナル」制度は、評価機関や認証機関での実務経験者を公的に証明するものであり、この資格（称号）を持つ人材を確保・育成することは、開発プロジェクトの信頼性向上と評価期間の短縮という大きな経営課題を解決する鍵となります。
2. 基礎知識：コモンクライテリア（CC）とは
コモンクライテリア（CC：ISO/IEC 15408）とは、IT製品やシステムのセキュリティ機能が正しく実装され、適切に運用できるかを評価するための国際規格です。
この規格に基づき、日本ではIPAが運用する「JISEC（ITセキュリティ評価及び認証制度）」という枠組みが存在します。製品開発者は「セキュリティターゲット（ST）」を作成し、第三者機関による評価を受ける必要があります。このプロセスは非常に厳格であり、要求事項（セキュリティ機能要件および保証要件）を正しく理解し、ドキュメントに落とし込むには高度な専門知識が不可欠です。
3. 実装/解決策：CCプロフェッショナルを「組織の資産」にする
もし貴社がCC認証の取得を目指す場合、外部コンサルタントに頼るだけではなく、社内に「CCプロフェッショナル」の知見を取り入れることが重要です。
具体的なアクションとしては以下の通りです：
・既存人材の再評価：過去に評価機関で勤務していたメンバーがいないか棚卸しし、条件を満たしていればIPAへの登録を推奨する。
・社内教育への活用：登録者にメンターとなってもらい、CCの要求事項を開発プロセス（セキュアSDLC）に組み込むためのガイドラインを策定する。
4. サンプルプログラム：セキュリティ要件管理の簡易スクリプト
CCの評価プロセスでは、膨大なドキュメントの整合性管理が課題となります。以下は、セキュリティ機能要件（SFR）と対応する証跡（エビデンス）の紐付けを管理するための簡易Pythonスクリプト例です。
セキュリティ機能要件(SFR)と証跡(Evidence)を紐付ける簡易管理ツール
class RequirementManager:
def __init__(self):
# 辞書型で要件IDと証跡ファイルのパスを保持
self.requirements = {}
def add_requirement(self, req_id, evidence_path):
# 要件IDに対する証跡を登録する
self.requirements[req_id] = evidence_path
print(f"登録成功: {req_id} -> {evidence_path}")
def verify_all(self):
# 全ての要件に証跡があるか確認（CC評価の基礎）
print("\n--- 評価用チェックリスト ---")
for req_id, path in self.requirements.items():
# 実際にはここでファイル存在確認などを行う
print(f"確認中: {req_id} | 証跡: {path}")
実行例
manager = RequirementManager()
例：アクセス制御(FDP_ACC)の要件に対する証跡を登録
manager.add_requirement("FDP_ACC.1", "/docs/evidence_access_control.pdf")
manager.add_requirement("FIA_UAU.2", "/docs/evidence_authentication.pdf")
manager.verify_all()
5. 応用・注意点：現場で陥りやすい罠
CCプロフェッショナルを登用する上で、最も注意すべきは「資格が目的化してしまうこと」です。
注意点：
・スキーム外であることの理解：本制度はあくまで専門知識を有する個人の証明であり、この称号を持っているだけで製品の認証が保証されるわけではありません。
・文書の維持管理：CCは「一度取得して終わり」ではなく、バージョンアップのたびに評価が必要になるケースが多いです。プロフェッショナルには、認証取得後の変更管理（メンテナンス）において、どの機能変更が評価に影響を与えるかを判断する「目利き」としての役割を期待しましょう。
IPAの公表リストを定期的にチェックし、自社のビジネス領域に近い専門家とネットワークを持つことは、セキュリティ戦略における強力なアドバンテージとなります。
コメント