セキュリティ評価・認証センター設立について

セキュリティ評価・認証機関設立の検討

　

1.背景

セキュリティ評価認証で先行する欧米諸国とMRA(Mutual Recognition Arrangement：相互承認協定)を結ぶには、我が国のセキュリティ評価認証制度が確立し、運用状態に入っていることが前提で、さらにその制度の下で評価・認証された製品が複数あることが必要である。また、その制度はMRA参加国と同等であることが求められており、MRAで規定された各種条件を満足することが必要である。

国内にセキュリティ評価認証制度を立ちあげるうえで、すでに国内で同等の制度を運用している機関の調査を行った。

セキュリティ評価認証でMRA参加に必要な主な条件

認証機関	その国唯一の政府機関であること。認証を行ううえで拠り所となる法律が存在すること。 ISO Guide65に基づいて運営されること。
認定機関	ISO Guide58に基づいて評価機関を認定すること。中立機関であること。
評価機関	ISO Guide25に基づいて運営されること。中立機関であること。

2.国内の各種機関の調査

日本国内では、例えばある工場のある製品についてJISマーク表示を許可するという意味で政府機関が認証を行っている例はあるが、これはセキュリティ評価・認証とは少し意味合いが異なる。すなわち前者の場合は、評価と認証を同一機関が行い、製品認証とはいえむしろそれを生産する工場の品質システムを認証することに重点が置かれるのに対し、後者は評価と認証をそれぞれ分離し、その評価が所定の基準及び手法に基づいて行われたことを認証するものである。なお、前者の政府機関はISO Guide65に基づいて運営されているわけではなく、日本独自の制度で行っている。

一方、評価機関の認定については、他の分野でもセキュリティ評価認証に関するMRAの規定と同等の制度、すなわちISO Guide58に基づいて運営されている認定機関が、ISO Guide25に基づいて運営されている評価機関を認定しており、そのままセキュリティ評価認証制度に適用するうえで問題が少ないと考えられる。以下に認定機関の候補として通商産業省製品評価技術センター（以下NITE）と（財）日本適合性認定協会(以下JAB)について調査した結果を示す。

2.1 NITE

NITEは、工業標準化法に基づく試験所認定制度（JNLA）を推進しており、自らはISO Guide58に適合した体制及び手続きを整備し、認定基準としてISO Guide25を用いて試験事業者を認定している。

①認定について

工業標準化法を調べた結果、認定についてはおそらく問題なくNITEでできそうである（工技院に確認するのは是非必要だが）。

ただし、セキュリティ評価基準及び評価手法ともにJISになることが前提。今の予定では基準は99年早期にISになるので、その後JISにするのは容易だが、手法の方はIS化の見通しが立っていないので、IS化を待たないでJIS化することを考えなければならない。

②認証について

前回同法の改正時、認証のことは想定していなかったため、認証については、今のところ同法律にあてはめるのは難しい。JISマークは製品認証であるが、これは評価機関を認定するだけでその中に認証の意味も含めている。すなわち製品毎にNITEがJISマークを発行するのではなく、評価センターがJISマークを発行するのを認めている（ただし法律で特定された製品に限る）。

2.2 JAB

JABは、米国ファスナー法に対応した機械的及び化学的特性試験分野において、NITEと同様、ISO Guide58に適合した体制及び手続きを整備し、認定基準としてISO Guide25を用いて試験事業者を認定している。

①認定について

対象として、強制／任意と試験所／校正機関の 2通りの分け方があり、JABは任意分野の試験所を認定している。

分野は、電気、機械・物理、化学、EMCの４種類で、現在のところ５４試験所を認定している（電気 0、機械・物理35、化学18、EMC 1）

②試験所に対する要件、ガイドライン、特定技術能力要求などについて

Guide 25の解説書としてJAB RL300「校正機関及び試験所に対する認定の一般基準」についての指針を作成した。また、各分野毎に解説書を作成する予定。

試験所に対して技能試験を行っている。その方法は、既知のサンプルを渡して実際に評価させることにより、判定することによる。

③海外との相互承認について

APLAC（アジア太平洋試験所認定協力機構：Asia Pacific Laboratory Accreditation Cooperation）に98年10月22日サインした。99年または2000年にはEA（欧州認定機関協力機構：European Co-operation for Accreditation）と地域間相互承認を予定。米国の NIST（National Institute of Standards and Technology）からは FQA(Fastener Quality Act) の認定機関として認められている。

2.3 結論

セキュリティ評価機関の認定については、NITE及びJABが双方とも既に整備している体制や手続きを適用するのは可能であろうと思われる。

一方、現状では国内にそのままセキュリティ認証機関として適用できる制度で運営している機関は存在しない。しかしNITEはMRAで要求されている政府機関であることという条件は満足しており、すでにISO Guide58に適合した体制及び手続きを整備し、認定基準としてISO Guide25を用いて試験事業者を認定しているため、認証機関に求められるISO Guide65を運営規則として追加するのは比較的容易であるという観点で認証機関に近い距離にあるといえる。