システム監査技術者試験 令和2年度 秋期 午前II 問19

【正解】ウ

CPSはCertification Practice Statementの略で、認証局が認証業務を具体的にどのような手順や管理方法で運用するかを規定した文書です。本人確認、証明書の発行、更新、失効、秘密鍵の管理、監査ログの保存、施設や要員の管理など、認証局の信頼性を確保するための実務上の詳細が記載されます。したがって、認証局の認証業務の運用などを詳細に定めるウが正解です。

アの証明書の所有者が策定するセキュリティ宣言という説明は誤りです。証明書の所有者は利用者又は加入者であり、利用条件への同意や秘密鍵の適切な管理を行いますが、CPSの策定主体ではありません。

イの証明書発行手続を代行する事業者が策定する宣言という説明は誤りです。申請受付や本人確認を担当する機関は登録局であり、RAと呼ばれます。CPSは登録局だけの宣言ではなく、認証局の運用を定める文書です。

エの認証局を監査する第三者機関の運用規定という説明は誤りです。第三者機関は認証局が所定の基準やCPSに従っているかを監査しますが、その機関自身の運用文書をCPSとは呼びません。

【ポイント】 ・CPは証明書をどの目的や方針で発行するかを示し、CPSはその方針をどのように実現するかを示します。 ・試験では、CPは方針、CPSは認証局の具体的な運用手順と区別します。