コモンクライテリア
追加の枠組みを実現する保証要件クラスとしては、3.0, 3.1 版には ACO (統合) クラスがある。 これは統合 TOE (Composed TOE) すなわち TOE 評価が評価・認証済み他社製品に依存する場合の評価の枠組みのために導入された。
IS 化を成し遂げた CC バージョン 2.x 系(第2版系)はよく練られたセキュリティ評価基準だったが、解釈発行による微修正では済まないような根深い問題がいくつか指摘された。 用語や概念の定義に齟齬や循環がある、評価作業に無駄な重複がある、抽象度の大きく異なる機能要件が混在している、保証要件として内容を評価すべきセキュリティ側面が機能要件として形式しか評価されない、などである。 そのため、再び大規模な改訂の機運が高まり、バージョン 2 のメンテナンス(2.3 版の IS 化)と並行してバージョン 3 の開発が行われた。
バージョン 3(第3版)で計画された変更点のうち、まず PP と ST の改革を先行して試行評価することとなり、CC と CEM の 2.2 版に対して PP と ST の仕様・保証要件・評価方法の抜本改訂と、それらとの整合に必要最小限の変更(機能仕様や機能強度など)だけを施した 2.4 版が 2004年3月に発行された。 2.4 版は 2.3 版より早く発行され、パート 2 がない(2.2 版をそのまま使う)風変わりなテスト版であった。
CC と CEM の 3.0 版が 2005年6月に発行され、公開審査と試行評価が行われた。 その中で明らかになった問題点を修正した 3.1 版が 2006年9月に発行された。
3.0 版ではセキュリティ機能要件も保証要件も大幅に再編された。 ところが、特に機能要件は既存の PP の移植が困難な程の抜本改訂であったので、問題となった。 そのため 3.1 版の機能要件は 2.3 版に近いものに戻された。
CC は 現在世界20 か国以上で政府調達基準とされており、日本においても、政府におけるIT製品・システムの調達に関して CC 評価・認証取得された製品の利用が推進されている。
また、CCRA加盟国のうちの一国において一度CC評価・認証を受ければ、他の国にも通用する。 情報システムや情報機器が、異なる国々で何度もセキュリティ認証を取得する必要をなくすために、欧州の ITSEC 標準や米国 TCSEC 標準の後継として、ISO の国際規格 (IS, International Standard) となることを目指して開発された。
CC は他のセキュリティ標準(米 FIPS 140 等)とは異なり、満たさなければならないセキュリティ要件のリストそのものを規定するのではなく、セキュリティ評価の枠組み(フレームワーク)を提供している。 この枠組みの中で、利用者はセキュリティ要件(要求仕様)を指定でき、開発者は製品のセキュリティ属性について主張でき、そして、評価者はそのセキュリティ主張を製品が本当に満たしているかどうかを検査できるようになっている。 すなわち CC は、コンピュータセキュリティ製品の要求仕様を示し、開発し、評価するというプロセスが厳密な方式で行なわれたという保証を提供するものである。
コモンクライテリア(Common Criteria, 略称 CC)とは、コンピュータセキュリティのための国際規格であり、 ISO/IEC 15408 である。 IT 製品や情報システムに対して、情報セキュリティを評価し認証するための評価基準を定めている。
正式名称は "Common Criteria for Information Technology Security Evaluation"(情報技術セキュリティ評価のためのコモンクライテリア)である。 ISO/IEC 15408 の規格名は "Evaluation criteria for IT security", JIS X 5070 としての名称は「情報技術セキュリティの評価基準」である。 2019年3月時点においては「バージョン3.1 リリース5(2017年4月)」が最新版である。
日本ではコモンクライテリアまたは CC と呼ばれるほか、情報技術セキュリティ評価基準、ITセキュリティ評価基準、広く一般的にはセキュリティ評価基準などと呼ばれる。
現在では独立行政法人情報処理推進機構が、日本の「ITセキュリティ評価及び認証制度(JISEC:Japan Information Technology Security Evaluation and Certification Scheme)」における認証機関を運営している。