コモン・クライテリア（ISO/IEC 15408、試験方法論はISO/IEC 18045）は、IT製品のセキュリティを評価するための国際規格です。製品が何を保護し、どのような攻撃者を阻止すべきかを明記します。独立した試験機関がその主張を検証し、認証機関が認証書を発行します。政府機関、ID関連、決済、自動車業界の購入者は、数十年にわたりこの規格を活用してきました。

EUCCは、EUサイバーセキュリティ法に基づく規則（EU）2024/482に定められた、欧州の共通基準（Common Criteria）スキームです。2025年2月27日から適用されており、従来SOG-IS協定によって連携されていた各国の個別スキームに代わり、EU全域で認められる単一のスキームとなりました。その基盤となる基準は同じです。 変更されるのは、試験所の認定方法、証明書への保証事項の記載方法、および証明書発行後の義務の内容です。

いいえ。各国の認証スキームは2025年2月27日をもって新規申請の受付を停止しており、2026年2月以降は証明書の発行そのものができなくなりました。現在、欧州で発行される新しいコモン・クライテリア証明書はすべてEUCC証明書となります。すでに発行済みの証明書は引き続き有効であり、発行元のスキームの規則に基づき、限定的なメンテナンスを行うことは依然として可能です。

有効期限が切れるまで有効です。新しい製品、新しいバージョン、あるいは更新のために次に新しい証明書が必要になった場合は、EUCCから発行されます。既存の証明書は、EUCCが追加した内容との照合が完了次第、移行することができます。実際の作業は、通常、証明書取得後の新たな義務や、当初の評価以降に変更された最新技術に関する文書に対応することに費やされます。

これらはAVA_VANレベルに対応しています。「Substantial」はAVA_VAN.1および2に相当し、「High」はAVA_VAN.3、4、5に相当します。違いは、製品のテスト対象となる攻撃者の種類にあり、それによってテストの深度と、テストの実施が許可される主体が異なります。「High」レベルの場合、試験所は国家当局の認可を受けていなければならず、その当局が認証書の発行を支援します。

はい、欧州内外の規格やスキームにおいて同様です。EUCCの下では、証明書にはAVA_VANレベルに基づいて「substantial」または「high」と記載され、EALが併記される場合もあります。お客様や調達文書で依然としてEALが求められている場合は、それをEUCCの相当レベルにマッピングするお手伝いをいたします。

技術ドメインとは、製品カテゴリごとに共有されるルール集であり、攻撃の評価方法や適用方法などを規定したものです。EUCCは、SOG-ISに含まれる「スマートカードおよび類似のデバイス」と「セキュリティボックスを備えたハードウェアデバイス」の2つを区別しています。AVA_VAN.4または5での認証取得は、通常、技術ドメインまたは認証済み保護プロファイルの範囲内での運用を意味するため、より高いレベルを目指す場合は、早い段階でこれを確定させておく必要があります。

いいえ、どの試験所もそのようなことは言うべきではありません。キーサイトはITSEFの認定を受けており、当社が評価を実施し、評価技術報告書を作成します。認証書は認証機関から発行され、国の当局も高いレベルで関与しています。当社は全過程を通じて当局と連携し、技術的なやり取りを代行いたします。

本スキームの義務を継続して履行している限り、最長5年間有効です。義務を履行しなかった場合、または認証製品に重大な脆弱性が発見された場合、認証は一時停止または取り消されることがあります。

これは、多くのチームが過小評価しがちな部分です。認証済みの製品に新たな脆弱性が発見された場合は、それを監視し、対処し、スキームが定める期限内に認証機関へ報告するとともに、変更によってセキュリティに関する主張に影響が生じた場合には再評価を依頼しなければなりません。認証は、一度取得して終わりというものではありません。5年間にわたり、人員と予算を割いて取り組む必要があるプロセスなのです。

これは役立ちますが、すべてを網羅しているわけではありません。EUCC認証を取得することで、コモン・クライテリア評価が実際に対象とするCRAの義務について、製品が準拠していると推定されるようになり、その証拠も十分に重なり合っています。ただし、CRAが製造業者に求めるその他の要件、特に技術文書、SBOM、および報告（脆弱性が実際に悪用されている場合に義務付けられる早期警告を含む）については対象外となります。これらを別々に進めるよりも、同時に計画した方が費用を抑えられます。 当社のEUサイバーレジリエンス法（EUCC）セキュリティ評価サービスをご覧ください。

事前評価とは、正式なキャンペーンに先立って実施するテストであり、修正コストがまだ低い段階で問題点を発見することを目的としています。これは必須ではありません。特に初回認証や新規設計の場合、認証スケジュールを順調に進めるために、私たちが知る限り最も信頼できる方法です。

下位の層の認証済み結果を繰り返し検証するのではなく、それを基盤として評価を行うこと。つまり、認証済みチップ上のプラットフォーム、認証済みプラットフォーム上のアプリケーションといった具合です。これは一からやり直すよりもはるかにコストが抑えられますが、それには1つの条件があります。それは、その層が下位の認証書に付属するガイドラインに従わなければならないということです。こうしたプロジェクトが遅延する場合、その原因はほぼ間違いなくこれにあります。