システム監査技術者試験 令和5年度 秋期 午前II 問17

【正解】ウ

CPSは、Certification Practice Statementの略で、日本語では認証業務運用規程などと呼ばれます。公開鍵基盤でデジタル証明書を発行する認証局が、本人確認、証明書の発行、更新、失効、秘密鍵の管理、設備の安全対策、事故への対応など、認証業務を実際にどのような手続で運用するかを詳細に定めた文書です。したがって、認証局の認証業務の運用などに関する詳細を規定したウが正解です。

アの証明書所有者が策定したセキュリティ宣言は誤りです。証明書の所有者である利用者は、秘密鍵を適切に管理する責任を負いますが、その宣言はCPSではありません。CPSを策定して公開する主体は認証局です。

イの発行手続を代行する事業者の宣言は誤りです。申請者の本人確認や証明書発行の受付などを認証局に代わって行う機関は、登録局、すなわちRAと呼ばれます。RAの宣言をCPSと呼ぶわけではありません。

エの第三者監査機関の運用規程は誤りです。第三者機関は、認証局が所定の基準やCPSに従って運用されているかを監査しますが、その監査機関自身の運用文書はCPSではありません。

【ポイント】 CPは証明書ポリシであり、証明書をどのような方針や用途で発行するかを示します。 CPSは、その方針を認証局が具体的にどのような手続で実施するかを示す文書です。