情報処理安全確保支援士試験 令和7年度 春期 午前II 問9

【正解】ウ

CPSはCertification Practice Statementの略で、日本語では認証業務運用規程などと訳されます。デジタル証明書を発行する認証局が、認証業務を実際にどのような手順や管理方法で運用するかを具体的に定めた文書です。例えば、申請者の本人確認方法、証明書の発行、更新、失効の手続、認証局の秘密鍵の管理、設備の物理的な安全対策、監査や障害対応などが記載されます。認証局の信頼性を利用者や関係者が判断するための重要な文書なので、ウが適切です。

アは誤りです。証明書の所有者は、認証局から証明書の発行を受ける主体であり、CPSを策定する主体ではありません。所有者が守るべき秘密鍵の管理方法や利用条件は、利用者規約や加入者契約などで定められます。

イは誤りです。申請者の本人確認や証明書発行の受付を行う組織は、登録局、RAと呼ばれます。RAが認証局の業務の一部を代行する場合はありますが、CPSは認証局自身の認証業務全体の運用を定める文書です。

エは誤りです。第三者監査機関は、認証局が規程どおり適切に運用されているかを評価します。監査機関自身の運用を定めた文書はCPSではなく、監査基準、監査手続、監査報告書などに該当します。

【ポイント】 CPは、どのような利用目的や保証水準で証明書を発行するかという方針を示します。 CPSは、その方針を認証局がどのような設備、手順、管理策で実現するかを示します。 試験では「CPは方針、CPSは具体的な運用」と対比して覚えると効果的です。