IT製品や情報システムに対して、情報セキュリティを評価し認証するための評価基準を定めている。日本ではコモンクライテリアまたはCCと呼ばれるほか、情報技術セキュリティ評価基準、ITセキュリティ評価基準、広く一般的にはセキュリティ評価基準などと呼ばれる。概要.また、CCRA加盟国のうちの一国において一度CC評価・認証を受ければ、他の国にも通用する。この枠組みの中で、利用者はセキュリティ要件(要求仕様)を指定でき、開発者は製品のセキュリティ属性について主張でき、そして、評価者はそのセキュリティ主張を製品が本当に満たしているかどうかを検査できるようになっている。すなわちCCは、コンピュータセキュリティ製品の要求仕様を示し、開発し、評価するというプロセスが厳密な方式で行なわれたという保証を提供するものである。後者においては、使用されている手法の実効性や、実装の正確性が検証されねばならない。CCに基づく評価は、一般にはとても高くつき、それなりに時間もかかる。評価は認定を受けた評価機関によって実施され、評価結果に対する認証は、CCRA(後述)加盟各国の認証機関(日本のIPA運営のJISEC等)だけから受けることができる。評価機関は、厳格に定められた手続きに則って認定され、定期的に更新を受けなければならない。主要な概念.コモンクライテリアでは、以下のように主要な概念が数多く定義されている:今までのところ、PPの大部分、そして評価されたST/認証製品の大部分は、ITシステムの構成要素(ファイアウォール、オペレーティングシステム、スマートカードなど)のためのものであった。CCはIT調達の要件として指定されることがある。相互運用、システム管理、利用者教育等に関しては、他の標準規格がCC等の製品標準を補う。セキュリティ機能要件.CCの機能要件は、機能分野別に分類されており、セキュリティアーキテクチャの基本的な機能を表現したものとなっている。前身となったTCSECなどと異なり、セキュリティ強度別の分類ではない。ファイアウォールやICカード、無線LANなど、セキュリティ製品の種類によって、典型的なセキュリティ機能の範囲を定めた「プロテクションプロファイル」(PP)が作られ、必要な一連の機能要件が記述される。