コモンクライテリア
CC は三つないし四つの標準を起源とする。 第1は米国防総省の TCSEC (Trusted Computer System Evaluation Criteria), 通称「オレンジブック」である。 1983年に制定され、1986年から NSA が国防関係のシステムを中心に評価・認証を行っている。
第2はヨーロッパの ITSEC (Information Technology Security Evaluation Criteria) である。 国内にセキュリティ評価・認証制度をもつフランス、ドイツおよびイギリスに、オランダを加えた4か国が開発し、1991年に欧州委員会から刊行され、他地域(オーストラリアなど)でも採用された。 TCSEC の概念を基にしながら、より柔軟な枠組みをもち、民生品から政府専用製品まで幅広く評価・認証が行われた。 国家間での相互承認、機能主張と保証要件の分離、そして評価基準 ITSEC に加え評価方法マニュアル ITSEM の標準化など、いくつかの点で CC の枠組みの基礎となっている。
第3はカナダの CTCPEC (Canadian Trusted Computer Product Evaluation Criteria) であり、上記両標準を参考に、各々のアプローチを組み合わせ、1993年に公表された。
第4を挙げるならば、1993年に米国で起草された FC (Federal Criteria for Information Technology Security) だが、この取組みは早々に CC へと方向転換された。 FC は、元々軍需用の TCSEC を、民需にも使いやすいよう ITSEC の内容も取り入れた改訂版として構想された。 政府の高度機密向けセキュリティを担当し TCSEC を運用する NSA と、それ以外(政府の一般用と民間用)のセキュリティを担当する NIST が共に 1992年から FC 開発に取り組み、共に CC 開発に参画した。
製品の開発過程全般をカバーする保証要件のパッケージであり、7段階の厳格さに対応する。 EAL1 は最も基本的(したがって実施するのも評価を受けるのも安あがり)であり、EAL7 は最も厳しい(最も高価)。通常、ST や PP の著者は保証要件を一つ一つ選ぶことはせず、 EAL を一つ選び、必要であればより高レベルの保証要件をいくつか追加する。より高い EAL が必ずしも「より良いセキュリティ」を含意するとは限らず、主張している TOE セキュリティ保証がより広範に検証されたことを意味するに過ぎない。
今までのところ、PP の大部分、そして評価された ST/認証製品の大部分は、IT システムの構成要素(ファイアウォール、オペレーティングシステム、スマートカードなど)のためのものであった。 CC は IT 調達の要件として指定されることがある。 相互運用、システム管理、利用者教育等に関しては、他の標準規格が CC 等の製品標準を補う。 例えば ISO/IEC 27001 (旧 BS 7799-2)や ISO/IEC 27002 (旧 ISO/IEC 17799, BS 7799-1)またはドイツの IT-Grundschutzhandbuch である。
TOE 内の暗号系の実装に関する詳細は、CC の適用領域外である。 代わりに米政府標準 FIPS 140 などが暗号モジュールの仕様を規定し、使用する暗号アルゴリズムの仕様については様々な標準がある。