ISO15408とISO27001の違いをわかりやすく解説：目的・範囲・認証の基本を徹底比較

---

ISO15408とISO27001の違いを理解する：目的・範囲・認証の基本を押さえよう

ISO15408は通称Common Criteriaと呼ばれ、IT製品のセキュリティがどれだけ信頼できるかを第三者機関が検証する「製品レベルの評価基準」です。保護対象となる機能を Security Target に、どの程度の検証が行われたかを EAL（評価保証レベル）で示します。製品自体の安全性を保証する点が特徴で、スマートフォンのチップや組み込み機器、ソフトウェアなど多様な製品に適用されます。

対して ISO27001は情報セキュリティマネジメントシステムの国際規格で、組織全体の情報資産をどう守るかという「管理体制」の構築と改善を目的とします。リスクアセスメント、方針、教育、物理的防護、監査といった要素を組み合わせ、PDCAサイクルを回して継続的な改善を図ります。

この二つの本質的な違いは対象の範囲と認証の性質です。Common Criteriaは製品レベルの保証、ISO27001は組織レベルの管理です。実務では、顧客が求める信頼の形に合わせて使い分けます。

例として、銀行が販売するアプリのハードウェアセキュリティとソフトウェア機能を CC で評価して信頼性を示しつつ、同じ銀行が内部でISMSを運用してデータ全体のリスクを管理するといった組み合わせが現場で行われています。

導入の際の注意点としては、費用・期間・範囲を慎重に見積もり、必要な範囲だけを評価・認証する計画を立てることです。

総じて、CCは製品の信頼性を証明し、ISMSは組織の信頼性を維持する仕組みとして、互いに補完し合います。

実務での違いと使い分けのポイント

実務では、どちらを選ぶべきかは「何を守るべきか」によって決まります。

もしあなたが作る製品やサービスが市場に出る前提で、製品そのもののセキュリティを第三者に保証したい場合は ISO15408（Common Criteria）の検証を検討します。

この場合は、セキュリティ要件を定義する保護プロファイルを作成し、対象ソフトウェアやハードウェアを評価機関に提出して評価を受けます。

評価には時間がかかることが多く、機能要件の追加や新しい脆弱性対応のたびに再評価が必要になるケースもあります。

一方、組織全体の情報資産を守る仕組みを作りたいのであれば ISO27001が適しています。

リスクアセスメント、管理策の導入、文書化、教育、内部監査、経営層の承認などを通じて、ISMSを改善していきます。

このプロセスは数か月から場合によっては年単位で動くこともあり、組織の規模と複雑さに応じて計画を立てることが重要です。

表や図を使って理解を深めるのも有効です。以下の比較表は、代表的な違いをざっくり整理したものです。

要素	ISO15408（Common Criteria）	ISO27001
対象	製品・ソフトウェア・ハードウェア	組織の情報セキュリティ管理
認証主体	評価機関	認証機関
目的	製品のセキュリティ保証	ISMSの管理と改善
主な文書	Protection Profile, Security Target	ISMSポリシー、リスクアセスメント、管理策
適用範囲	製品の信頼性・安全性	組織の全情報資産

ピックアップ解説

小ネタ

ある日の放課後、友達とセキュリティの話をしていて、ISO27001という言葉が出てきた。
友人は「組織全体の守り方を決める設計図みたいだよね」と言い、私はうなずきながら説明を続けた。ISO27001は人・手順・技術を結びつけ、データの取り扱いルール、責任者、監査の仕組みを整えることが大事だ。組織全体の文化と手順を作ることが本質で、技術だけでは不十分だという点を強調する。
この雑談の中で、ISO27001を理解するコツは「リスクを見える化して、対策を段階的に実行すること」だと分かった。これを知ってから、私は学校の情報管理にも気を配るようになった。

---