コモンクライテリア（ISO/IEC 15408）は、IT製品のセキュリティを正式に評価するための国際標準です。製品が何を保護し、どのような攻撃者に対抗するかをセキュリティターゲットで定義し、独立したテストラボがその主張を検証し、認証機関が証明書を発行します。世界中の政府、身元確認、決済、およびセキュアハードウェアのバイヤーがこれに信頼を置いており、CCRA（コモンクライテリア承認機関）の下で30か国以上がCC証明書を認めています。
コモンクライテリアに関するEUサイバーセキュリティ認証スキーム（EUCC）は、EUサイバーセキュリティ法（規則(EU) 2019/881）に基づく統一された欧州のアプローチをもたらします。施行規則(EU) 2024/482として採択され、2025年2月から適用されており、移行期間を経て段階的に廃止されるSOG-ISおよび国内スキームに代わるものです。EUCCの下では、保証レベルは「substantial（相当）」または「high（高）」として表現され、AVA_VAN脆弱性解析レベルに紐付けられます。ラボは認定を受けている必要があり、高い保証レベルの評価については個別の認可が必要です。また、証明書はその有効期間中、脆弱性管理および開示の義務を伴います。
オランダのデルフトにあるキーサイトのデバイスセキュリティラボは、公認のEUCC ITセキュリティ評価施設（ITSEF）であり、保証レベル「substantial」および「high」の評価認定を受けています。2十年以上にわたるコモンクライテリアの実績があります。当社は、お客様のセキュリティターゲットを評価し、それに対する設計および開発の証拠を確認し、製品内の潜在的な脆弱性を特定し、それらの主張を検証する攻撃キャンペーンを実行します。認証機関には必要な評価技術報告書が提供され、お客様には販売市場に合わせた認証戦略と、証明書取得後に生じる義務の見通しが提供されます。
- スコープ設定
- ドキュメント
- エビデンス評価
- 分析とテスト
- レポートおよび認証
- 保守と再利用
スコープ設定
まず、何をどのレベルで認証するかを定義することから始めます。評価対象の境界、substantialまたはhighの保証レベル、プロテクションプロファイルが適用されるかどうか、および下層のレイヤーが保持する証明書から再利用できるものを決定します。これらの選択はコストとスケジュールに影響を与え、後から見直すのは多大なコストがかかります。
セキュリティターゲットとドキュメント
セキュリティターゲットは、評価の基準となるものを定義します。設計、アーキテクチャ、ガイダンス、ライフサイクル、およびサイトのエビデンスが評価対象となります。不備がある場合に再設計ではなくドキュメントの修正で対応できるよう、早期にレビューを行います。ドキュメントの準備状況は、評価にかかる期間を左右する最大の要因です。
評価とエビデンスの検証
当社の評価者は、スコープ内の保証要件（設計、ガイダンス、ライフサイクルサポート、テスト、および開発・生産サイトのエビデンス）に取り組みます。コンポジット製品については、下位の証明書からのガイダンスが正しく適用されていることも確認します。
脆弱性分析とテスト
この段階では、お客様の製品の突破を試みます。セキュリティターゲットでは、特定の攻撃者が侵入できないと主張していますが、ここではその攻撃者になりきり、AVA_VANレベルで求められる労力を注ぎ込みます。手法には、サイドチャネル解析、故障注入、物理的・侵襲的攻撃、および論理的・プロトコル攻撃が含まれます。製品に適したものを選定します。
レポートおよび認証
登録請求書の支払いが行われた後、評価レポートを作成しEMVCoに送付します。EMVCoがレポートを審査し、SECN付きで公開されるセキュリティ評価証明書を発行します。レポートが要件を満たすまで、審査中に提起された質問に対応いたします。
保守と再利用
EUCC証明書の有効期間は最大5年であり、その間ずっと脆弱性を監視し、認証機関に開示し、変更がセキュリティの主張に影響を与える場合に再評価を求める必要があります。当社は開始時にそのプロセスを計画するため、更新や新しい派生製品が発売の負担になるのではなく、ロードマップに組み込まれます。
評価対象のテクノロジーとプラットフォーム
- セキュア集積回路、セキュアエレメント（eSE、iSE）、および暗号ライブラリ
- セキュアオペレーティングシステム、信頼できる実行環境、ハイパーバイザー、およびリッチOS
- JavaCard、GlobalPlatform、およびネイティブスマートカードプラットフォーム
- 決済、電子身元確認、認証およびトラストサービス、ICAO渡航文書、交通、および自動車向けのアップレットおよび集積回路カード
- ハードウェアセキュリティモジュールおよびセキュリティボックスを備えたハードウェアデバイス
- V2Xハードウェアセキュリティモジュールを含む自動車用コンポーネント
- 正式な保証クレームを必要とするコネクテッドデバイスおよび組み込みデバイス
キーサイトとの協業
キーサイトがコモン・クライテリア（共通基準）の準備と評価をサポートする間、お客様は製品の進化に集中していただけます。
あらゆるステップでのサポート
事前評価、コンサルティング、評価を組み合わせ、チームとご予算に合わせたプログラムを構築します。ワークショップ、デザインレビュー、オンサイトサポートも含まれており、スケジュール変更にも柔軟に対応可能です。市場で最速クラスの認証取得タイムラインを維持しながら、あらゆるステップでお客様をサポートします。
世界トップクラスのテスト専門知識へのアクセス
最も厳格なコモン・クライテリアの保証レベルに到達するには、物理攻撃テストが不可欠です。当社のチームは、サイドチャネル解析およびフォルトインジェクションにおけるマーケットリーダーであり、2001年以来セキュアエレメントのテストを行ってきました。また、世界中のラボやベンダーで使用されているサイドチャネルおよびフォルトインジェクション・ツールセット「Inspector」を開発した企業でもあります。
エビデンスの再利用
また、EMVCo、GlobalPlatform、SESIP、PSA Certified、GSMA eSA、およびサイバーレジリエンス法（Cyber Resilience Act）に基づく評価も実施しています。これらを組み合わせて計画することで、1つのキャンペーンで複数のスキームや複数の製品バリアントをカバーできるため、新しいバージョンごとの認証コストを従来よりも抑えることができます。
リソースを学ぶ
注目ニュース
高保証セキュリティ評価の認定を取得
キーサイト・デバイス・セキュリティ・ラボは、共通基準に関するEUサイバーセキュリティ認証スキーム（EUCC）に基づくITセキュリティ評価機関（ITSEF）として認定されています。この認定により、デルフトにある当社のラボは、決済やデジタルID技術をはじめとする、セキュリティクリティカルなICT製品に対する高度かつ高保証な評価を実施することが可能になります。
この認定は、国際的に認知されたセキュリティ要件に対するセキュア製品の評価における長年の経験に基づくものです。
キーサイトは、当社製品のテストにおいて常に卓越したサービスを提供してくれます。その深い専門知識と細部にわたるアプローチは、確信と安心感をもたらしてくれます。
David Pengwei Ren
同芯微電子（Tongxin Microelectronics）インターナショナル・マーケティング・ディレクター
よくあるご質問
コモン・クライテリア（ISO/IEC 15408、テスト手法はISO/IEC 18045）は、IT製品のセキュリティを評価するための国際規格です。製品が何を保護し、どのような攻撃を防ぐべきかを定義し、独立したラボがその主張をテストします。そして、認証機関が証明書を発行します。これは何十年もの間、政府、身元確認、決済、自動車の分野のバイヤーによって利用されてきました。
EUCCは、EUサイバーセキュリティ法に基づく規則（EU）2024/482で定められた、コモン・クライテリアに関する欧州のスキームです。2025年2月27日から適用されており、従来SOG-IS協定によって結ばれていた個別の国内スキームに代わり、EU全体で認知される1つのスキームとなりました。根底にある規格は同じです。変更されるのは、ラボの認定方法、証明書への保証の記載方法、および発行後の義務です。
いいえ。国内スキームでの新規申請の受付は2025年2月27日に終了し、2026年2月以降は証明書の発行が一切できなくなりました。ヨーロッパにおける新しいコモン・クライテリアの証明書はすべてEUCC証明書となります。すでに発行された証明書は有効なままであり、発行元のスキームの規則の下で限定的なメンテナンスを行うことは可能です。
有効期限まで有効です。新製品、新バージョン、または更新のために新しい証明書が必要になった場合は、EUCCから取得することになります。既存の証明書は、EUCCで追加される要件に対して確認が取れ次第、移行することができます。実際の作業は通常、証明書発行後の新たな義務や、最初の評価以降に変更された最新技術文書に関する対応となります。
これらはAVA_VANレベルに対応しています。「実質的」はAVA_VAN.1および2に、「高」はAVA_VAN.3、4、および5に相当します。違いは、製品がどのような攻撃者に対してテストされるかであり、これによりテストの深さと、誰がテストを実施できるかが変わります。「高」レベルの場合、ラボは国家当局からの認可を受ける必要があり、その当局が証明書の発行を支援します。
はい、規格内およびヨーロッパ外のスキームでは存続しています。EUCCでは、証明書にはAVA_VANレベルに結びついた「実質的」または「高」が記載され、EALが付与される場合もあります。お客様や調達文書で引き続きEALが求められる場合は、EUCCの同等基準へのマッピングをサポートいたします。
テクニカルドメインとは、製品カテゴリに関する共有ルールブックであり、攻撃の評価方法や適用方法を網羅しています。EUCCでは、SOG-ISから引き継がれたスマートカードなどのデバイス、およびセキュリティボックスを備えたハードウェアデバイスの2つのドメインが維持されています。AVA_VAN.4または5での認証取得は通常、テクニカルドメインまたは認定されたプロテクションプロファイル（PP）の枠組み内で作業することを意味するため、「高」レベルを目指す場合は、これを早期に決定してください。
いいえ。どの試験所であっても、そう言うことはありません。キーサイトは認定されたITSEF（情報技術セキュリティ評価施設）であり、評価の実施および評価技術報告書の作成を行います。証明書は認証機関から発行され、そのプロセスには国家機関も深く関与します。キーサイトは最初から最後まで関係機関と連携し、技術的なやり取りを代行します。
スキームの義務事項を満たし続けている限り、最長5年間です。義務が満たされない場合や、認証された製品に重大な脆弱性が発見された場合は、証明書の効力停止または取り消しが行われることがあります。
ここは、ほとんどのチームが過小評価しがちなポイントです。認証された製品における新たな脆弱性の監視と対処、スキームで定められた期限内での認証機関への報告、およびセキュリティ主張に影響を与える変更が発生した場合の再評価の依頼が必要になります。認証は、取得してしまえば終わりというものではありません。5年間にわたり、人員と予算を割いて継続すべきプロセスです。
役立ちますが、すべてをカバーするわけではありません。EUCC証明書を取得することで、共通基準（Common Criteria）の評価が実際に対象としているCRA義務事項について、製品が適合していると推定されるようになり、エビデンスも十分に重複します。ただし、製造業者としてのCRAが求める残りの要件、特に技術文書、SBOM、および脆弱性が悪用されている場合の早期警告を含む報告義務などはカバーされません。そのため、別々に進めるよりも、両方を同時に計画する方がコストを抑えられます。当社のEUサイバーレジリエンス法セキュリティ評価サービスをご覧ください。
事前評価とは、正式な評価キャンペーンの前に当社が実施するテストであり、修正コストが低い段階で問題を発見するためのものです。必須ではありませんが、初めての認証取得や新しい設計において、認証スケジュールを予定通りに進めるための最も確実な方法として知られています。
下のレイヤーの認定済み結果を繰り返すのではなく、それを基盤として構築する評価です（例：認定済みチップ上のプラットフォーム、認定済みプラットフォーム上のアプリケーションなど）。ゼロから始めるよりもはるかに低コストですが、1つ条件があります。それは、自社のレイヤーが、下のレイヤーの証明書に付属していたガイダンスに従わなければならないということです。プロジェクトが遅延する場合、ほとんどがこれが原因です。