ITSEC

情報技術セキュリティ評価基準( ITSEC )は、製品およびシステム内のコンピュータ セキュリティを評価するための構造化された基準のセットです。ITSEC は、各国の既存の作業に基づいて、 1990 年 5 月にフランス、ドイツ、オランダ、および英国で最初に公開されました。広範囲にわたる国際的なレビューの後、評価および認証スキーム内での運用使用のために、バージョン 1.2 が 1991 年 6 月に欧州共同体委員会によって公開されました。

1990 年に ITSEC が開始されて以来、他の多くのヨーロッパ諸国も ITSEC 評価の有効性を認めることに同意しています。

ITSEC は、同様に定義された評価レベルを提供し、評価対象の概念とセキュリティ ターゲット ドキュメントを実装する Common Criteriaに大部分が置き換えられました。

評価対象となる製品またはシステムは評価対象と呼ばれ、そのセキュリティ機能の詳細な検査が行われ、総合的かつ情報に基づいた機能テストと侵入テストが行​​われます。検査の程度は、対象に求められる信頼度によって異なります。異なる信頼度レベルを提供するために、ITSEC はE0 から E6 で表される評価レベルを定義します。評価レベルが高くなるほど、対象の検査とテストがさらに広範囲に行われます。

以前の基準、特に米国防衛当局が開発したTCSECとは異なり、ITSEC では、特定の保証レベルを達成するために評価対象に特定の技術的機能が含まれている必要はありませんでした。たとえば、ITSEC 対象は、機密性や可用性を提供しなくても、認​​証機能や整合性機能を提供する場合があります。特定の対象のセキュリティ機能は、セキュリティ ターゲットドキュメントに文書化されており、その内容は、対象自体を評価する前に評価および承認される必要がありました。各 ITSEC 評価は、セキュリティ ターゲットで特定されたセキュリティ機能の検証のみに基づいていました。

正式なZ表記法は、Mondexスマートカード電子キャッシュシステムのセキュリティ特性を証明するために使用され、最高のセキュリティレベル分類であるITSECレベルE6を達成することを可能にしました。^{[1] [2]}

• ITSEC (1991 年 6 月)。「情報技術セキュリティ評価基準 (ITSEC): 暫定的な統一基準」(PDF)。文書 COM(90) 314、バージョン 1.2。欧州共同体委員会。2006年 5 月 23 日にオリジナル(PDF)からアーカイブ。2006年 6 月 2 日に取得。