現代の複雑なシステム開発において、セキュリティを後付けではなく、設計段階から組み込む「セキュリティエンジニアリング」の重要性が高まっています。その実践レベルを客観的に測定し、組織的な改善を促すための国際標準がISO/IEC 21827です。この規格は、ISSEA（国際システムセキュリティエンジニアリング協会）が策定したSSE-CMM（Systems Security Engineering Capability Maturity Model）をベースにしており、組織がどれだけ成熟したセキュリティ能力を持っているかを評価する指標となります。
Key Facts
- ベースモデル：ISSEAが開発したSSE-CMMに基づいた国際標準規格である。
- 適用範囲：政府機関、民間企業、学術機関など、あらゆるセキュリティエンジニアリング組織に適用可能。
- アプローチ：特定のプロセスや手順を強制するのではなく、業界で一般的に見られるベストプラクティスを体系化したものである。
- 目的：セキュリティエンジニアリングプロセスの成功に不可欠な特性を定義し、その成熟度を測定する。
SSE-CMMがカバーする評価領域
ISO/IEC 21827は、単一の作業手順を規定するものではなく、組織全体の能力を多角的に評価します。具体的には、以下の4つの主要な視点からセキュリティエンジニアリングの実践状況を捉えます。
1. プロジェクトのライフサイクル管理
システムの開発から運用、保守、そして最終的な廃棄（デコミッショニング）に至るまで、全工程におけるセキュリティ活動が適切に組み込まれているかを評価します。
2. 組織全体のガバナンス
個別のプロジェクト単位ではなく、経営層による管理、組織的な体制整備、およびエンジニアリング活動全般における一貫した能力を測定します。
3. 他分野との連携
セキュリティは単独で完結しません。システムソフトウェアやハードウェアの設計、人間工学（ヒューマンファクター）、テストエンジニアリング、さらには運用・保守管理といった他領域との同時並行的な相互作用が適切に行われているかを確認します。
4. 外部組織との相互作用
調達、システム管理、認証、認定、および評価といったプロセスにおいて、外部組織とどのように連携し、セキュリティ品質を担保しているかを評価対象とします。
ISO/IEC 21827の概要まとめ
本規格の特性を整理すると、以下の通りになります。
| 項目 | 詳細内容 |
|---|---|
| 規格の性質 | 能力成熟度モデル（CMM）に基づく評価指標 |
| 適用対象 | 政府、商業、学術など全てのセキュリティエンジニアリング組織 |
| アプローチ | 業界の一般的慣行（プラクティス）の集約（特定プロセスの強制なし） |
| 評価範囲 | ライフサイクル、組織管理、他分野連携、外部連携 |
Frequently Asked Questions
ISO/IEC 21827はどのような組織が利用すべきですか？
政府機関、民間企業、大学などの研究機関など、システムセキュリティエンジニアリングに従事するあらゆる組織に適用可能です。組織の規模や業種を問わず、セキュリティ能力の現状把握と向上を目指す場合に有効です。
この規格に従えば、特定の開発手順を導入しなければなりませんか？
いいえ。ISO/IEC 21827は特定のプロセスや順序を強制するものではありません。あくまで業界で一般的に観察されるプラクティスをモデル化したものであり、組織が自らの状況に合わせて成熟度を高めるための指標として利用します。
SSE-CMMとは何ですか？
Systems Security Engineering Capability Maturity Modelの略称で、ISSEA（国際システムセキュリティエンジニアリング協会）によって開発された、セキュリティエンジニアリングの能力成熟度を測定するためのモデルです。
ライフサイクルのどの段階が評価対象になりますか？
開発段階だけでなく、運用、メンテナンス、そしてシステムの廃棄に至るまで、ライフサイクルの全ステージにおけるセキュリティ活動が評価の対象となります。