システムアーキテクト試験 令和4年度 春期 午前II 問19

【正解】ウ

CRYPTRECは、電子政府などで利用する暗号技術について、安全性や実装性能を専門家が評価し、継続的に監視するための日本のプロジェクトです。暗号方式は、計算機性能の向上や新しい解読手法の発見によって安全性が変化するため、一度選定して終わりではなく、その後も監視する必要があります。政府機関が情報システムを調達するときに参照する暗号技術のリストも整備しているため、ウが正解です。

アの暗号装置の輸出許可申請を審査、承認するという説明は誤りです。これは外国為替及び外国貿易法に基づく安全保障貿易管理に関する行政手続であり、経済産業省などが所管します。CRYPTRECは輸出許可機関ではありません。

イのIT関連製品のセキュリティ機能を評価、認証するという説明は誤りです。これはISO／IEC 15408、いわゆるコモンクライテリアに基づいてIT製品を評価・認証するJISECの役割です。CRYPTRECが評価する中心対象は暗号技術です。

エの民間企業のサーバに対する攻撃を常時監視、検知するという説明は誤りです。これは各企業のSOCやCSIRT、セキュリティ監視サービスなどが担う役割です。CRYPTRECは個別のサーバを監視する組織ではありません。

【ポイント】 CRYPTREC暗号リストには、電子政府推奨暗号、推奨候補暗号、運用監視暗号という区分があります。 暗号技術の評価と、製品の認証、輸出管理、サーバ監視は、それぞれ別の制度・組織の役割として区別します。