macOS 製品のセキュリティに関する認定書、評価、ガイダンス

この記事では、macOS プラットフォームの主要製品の認定書、暗号モジュールの評価、セキュリティガイダンスについて、関連資料を紹介しています。ご質問がある場合は、security-certifications@apple.com までお問い合わせください。

暗号モジュール評価

Apple のすべての FIPS 140-2 適合認定書は、CMVP ベンダーのページに掲載されています。Apple では、macOS の各メジャーリリースについて、CoreCrypto モジュールおよび CoreCrypto Kernel モジュールの評価に鋭意取り組んでいます。最終的なモジュールのリリースバージョンに対してのみ評価を実施し、OS の公開リリース時点で公式に申請します。CMVP は、暗号モジュールの評価状況を 2 つの個別のリストに分けて、状況別に掲載しています。モジュールはまず「Implementation Under Test List」に掲載され、「Modules in Process List」に移ります。

macOS Mojave

Apple では、今年度後半にリリース予定の macOS Mojave で使われる CoreCrypto v9.0 モジュールの認定取得に積極的に努めています。

macOS High Sierra

以前のバージョン

以下の以前のバージョンの OS X については、暗号モジュールの評価認定を受け、現在アーカイブされています。

  • OS X Yosemite 10.10
  • OS X Mavericks 10.9
  • OS X Mountain Lion 10.8
  • OS X Lion 10.7
  • OS X Snow Leopard 10.6

セキュリティ設定ガイド

セキュリティを重視する組織は、許容される用途に合わせて各種プラットフォームを設定する方法について、綿密に調査して明確にガイダンスを定義しています。セキュリティ設定ガイドには、デバイス保護の強化 ("hardening") に役立つ OS X および iOS の機能について概要が記載されています。世界各国の政府が Apple と協力し、より安全な環境の維持管理を目的とした指示や推奨事項をまとめたガイドを作成しています。 

これらのガイドは、経験豊富なユーザまたはシステム管理者を対象としています。ユーザインターフェイスを熟知し、対象となるプラットフォームの管理ツールについて実践的な知識を持ち合わせていることが前提です。ネットワークの基本概念についての知識も役に立ちます。ガイドの指示は一部複雑なものもあり、指示から逸脱すると、不具合が生じたり、逆にセキュリティが弱体化したりする場合があります。デバイスの設定を変更したときは、必ず導入前に徹底的にテストしてください。

詳しくは、「macOS のセキュリティ」ガイド (PDF) を参照してください。

  macOS High Sierra 10.13                  macOS Sierra 10.12 OS X El Capitan 10.11

Apple
SCAP-On-Apple SCAP-On-Apple SCAP-on-Apple

英国
(NCSC)
EUD Security Guidance: macOS 10.13 High Sierra End User Devices Security Guidance End User Devices Security Guidance

End User Devices Security Guidance
 (PDF)

OS X 10.11 プロビジョニングスクリプト

US
(DISA、NIST、NSA)
macOS STIGs

macOS 10.12 Workstation STIG

NIST Checklist

Apple OS X 10.11 Workstation STIG

セキュリティに関する認定書

Apple が公に認証を取得済みの有効な規格文書を以下にまとめています。

ISO 27001/27018 認証

Apple は、2017 年 7 月 11 日付の適用宣言書 (Statement of Applicability v2.1) に従ったインフラストラクチャ、開発、製品やサービス (Apple School Manager、iTunes U、iCloud、iMessage、FaceTime、管理対象 Apple ID、Siri、スクールワーク) の運用管理について、情報セキュリティマネジメントシステム (ISMS) の ISO 27001 認証および ISO 27018 認証を受けました。Apple の ISO 規格への準拠は、BSI (英国規格協会) により認定されました。BSI の Web サイトに、ISO 27001 認証および ISO 27018 認証の認定書が掲載されています。

Common Criteria Certification

セキュリティに関する国際規格として、Common Criteria コミュニティで提唱している通り、IT 製品のセキュリティ機能に対する明確で信頼性の高い評価基準を定めることを目標としています。製品がセキュリティ規格 Common Criteria Certification を満たしていることを独自に査定することによって、お客様に IT 製品を安心してお使いいただき、十分な情報に基づいて判断していただけるようにしております。

Common Criteria Recognition Arrangement (CCRA) の加盟国および加盟地域は、同じレベルの信頼性で IT 製品の認定を相互承認することに賛同しています。加盟国は毎年増え続け、Protection Profile もさらに幅広く掘り下げて充実し、進化する技術に対応しています。この協定のおかげで、製品の開発者としては、どの認証制度でも承認を 1 回受ければよいことになります。

比較的最近、新しい Common Criteria の下で認証手法が再編されましたが、詳しくご存じない場合は、Evaluated Assurance Levels (EAL#) は参照されなくなった点に注意してください。以前の Protection Profile (PP) はアーカイブされ、具体的な解決策や環境に的を絞った PP が開発され、順次置き換えが始まっています。CCRA の全加盟国の間で相互認識を継続するための協調努力として、International Technical Community (iTC) が、今後のあらゆる PP 開発と、複数の制度のもとで新たに開発される Collaborative Protection Profile (cPP) への移行を継続的に推進していきます。

Apple では、2015 年初期から、Common Criteria のこの新しい枠組みにおいて、一部の PP について認証取得を目指しています。Apple が公に認証を取得済みの有効な規格文書を以下にまとめています。

macOS

Apple では、General Purpose Operating System Protection Profile に基づく macOS の認定取得に積極的に努めています。 

Volatility Statements

製品のメーカーから Volatility Statements の届け出を受ける必要がある政府組織およびその関連機関は、メールで AppleFederal@apple.com までご依頼いただければ提出いたします。その際、ご依頼の政府機関名、Apple 製品名、製品のシリアル番号、および政府の技術ご担当者名を記載してください。

その他のオペレーティングシステム

製品のセキュリティ、評価、ガイダンスについては、それぞれ以下の該当する記事を参照してください。

Apple 製以外の製品に関する情報や、Apple が管理または検証していない個々の Web サイトは、推奨や承認なしで提供されています。Apple は他社の Web サイトや製品の選定、性能、使用については一切責任を負いません。Apple は他社の Web サイトの正確性や信頼性については一切明言いたしません。インターネットの使用にはリスクがつきものです。詳しくは各社にお問い合わせください。その他の会社名や製品名は、それぞれの所有者の商標である場合があります。

公開日: