システム監査技術者試験 令和6年度 秋期 午前II 問17

【正解】ウ

CPSは、Certification Practice Statementの略で、日本語では認証業務規程などと訳されます。認証局が、本人確認をどのように行い、証明書をどのような手順で発行・管理・失効・更新するかといった、認証業務の具体的な運用方法を定めた文書です。認証局の設備管理、鍵の保護、事故発生時の対応、監査なども対象となるため、運用についての規定であるウが正解です。

アの説明は誤りです。監査ログは、認証局のシステムで発生した操作、アクセス、障害などの履歴を記録したものです。CPSは過去の記録そのものではなく、業務をどのように実施するかを定める規程です。

イの説明は誤りです。これはCRL、すなわち証明書失効リストの説明です。CRLには、有効期間内であっても秘密鍵の漏えいなどによって失効した証明書の情報が掲載されます。

エの説明は誤りです。これは、認証局の運用や統制が所定の基準に適合しているかを監査・検証した結果をまとめる報告書の説明です。

【ポイント】 CPは証明書をどのような方針で利用・発行するかを示す証明書ポリシー、CPSはその方針をどのような手続で実施するかを示す文書です。方針のCP、具体的運用のCPSと区別すると覚えやすくなります。