平成28年度春期 システム監査技術者 午前Ⅱ 問19

組織の役割を切り分ける視点

暗号技術に関する組織の役割を考えるときは、名称や印象だけで判断せず、各組織が担う責任の範囲と、他の関係者との境界に注目して整理しましょう。記述全体の関係も確認することが大切です。

この問題で問われていること

一つの役割に焦点を絞り、その組織が何を決め、何を支え、どの範囲まで関与する立場なのかを、問題文の記述と照らして確認してください。役割の目的と責任の対応に注目しましょう。

視点

暗号技術を取り巻く組織は、制度、運用、評価、利用など異なる観点で関わります。判断するときは、示された役割の目的と責任の境界を分けて捉え、似た立場との重なりだけで結論を出さないようにしましょう。

確認ポイント

• 記述されている組織の責任範囲に注目する
• 目的と手段を混同せずに読み分ける
• 他の関係者との境界を本文に沿って確かめる

正解

ウ

解説

CRYPTRECは、電子政府での利用を推奨する暗号技術について安全性を評価・監視する取組であり、輸出審査や製品認証、民間サーバ攻撃の監視を行うものではありません。

理由

CRYPTRECの役割は、電子政府での利用を推奨する暗号技術の安全性を評価し、その状況を監視することです。ここで確認できるのは設問に示された役割であり、組織形態を断定する根拠ではありません。

比較

他の選択肢は、外国為替及び外国貿易法に基づく輸出審査、政府調達におけるIT製品のセキュリティ機能認証、民間企業サーバへの攻撃監視を述べており、CRYPTRECの役割とは異なる。

選択肢ア

これは不正解だよ。外国為替及び外国貿易法で規制される暗号装置の輸出を審査・検査する内容は、輸出管理に関する活動である。設問で示されるCRYPTRECの役割は、電子政府での利用を推奨する暗号技術の安全性評価・監視であり、暗号装置の輸出審査ではない。

選択肢イ

これは不正解だよ。政府調達でIT関連製品のセキュリティ機能の適切性を評価・認証する内容は、製品の評価認証に関する制度を説明している。CRYPTRECについて設問が示すのは、電子政府で推奨する暗号技術そのものの安全性を評価・監視する役割である。

選択肢ウ（正解）

これは正解だよ。電子政府での利用を推奨する暗号技術について、その安全性を評価し、監視するという説明が、設問で問われているCRYPTRECの役割に合致する。暗号装置の輸出審査やIT製品の認証、民間サーバ攻撃の監視を示すものではない。

選択肢エ

これは不正解だよ。民間企業のサーバに対するセキュリティ攻撃を監視・検知する内容は、サーバ運用やインシデント対策に関する活動である。CRYPTRECの役割として示されているのは、電子政府で推奨する暗号技術の安全性評価・監視であり、個別企業のサーバ攻撃の検知ではない。

学習のポイント

暗号技術の評価活動と、輸出管理・製品認証・攻撃監視を区別する。