令和2年度10月 システム監査技術者 午前Ⅱ 問19

運用文書の役割を整理する視点

文書名や用語の印象だけで判断せず、誰が、いつ、何を目的に参照する文書なのかを整理し、記載内容の役割と利用場面の対応を比較しましょう。

この問題で問われていること

各文書について、作成・承認・利用・更新のどの場面に関係するものかを読み取り、役割の違いに注目して選択肢を検討しましょう。

視点

運用文書を比較するときは、対象者、利用時期、目的、記載内容の範囲を切り分け、同じ言葉が使われていても役割が同一とは限らない点を意識します。

確認ポイント

• 文書を利用する主体は誰か
• 文書が参照される場面はいつか
• 文書の目的と記載範囲は何か

正解

ウ

解説

CPSは、認証局が行う認証業務について、証明書の発行や管理などの運用内容を具体的に定めた文書です。したがって、該当するのはウです。

理由

CPS（Certification Practice Statement）は、認証局がどのような手続や管理方法で認証業務を運用するかを詳細に規定する文書です。単なるセキュリティ上の宣言ではなく、認証局の業務運用を具体化する点がポイントになる。

比較

選択肢アとイは、証明書所有者または発行手続を代行する事業者が策定したセキュリティ宣言であり、認証局の認証業務の詳細な運用規定とは異なる。選択肢エは認証局を監査する第三者機関の運用文書であり、CPSの対象ではありません。

選択肢ア

これは不正解だよ。認証局が発行する証明書の所有者が策定したセキュリティ宣言は、証明書所有者側の方針を示すものに当たる。CPSは、証明書所有者の宣言ではなく、認証局自身の認証業務に関する運用内容を詳細に規定した文書である。

選択肢イ

これは不正解だよ。認証局での証明書発行手続を代行する事業者が策定したセキュリティ宣言は、代行事業者の立場から示す文書である。CPSは、代行事業者の宣言ではなく、認証局の認証業務の運用などを詳細に規定する文書を指す。

選択肢ウ（正解）

これは正解だよ。CPSは、公開鍵基盤において認証局が証明書を発行・管理する際の認証業務について、運用方法や手続などの詳細を規定した文書である。選択肢はCPSの役割をそのまま説明しているため、該当する。

選択肢エ

これは不正解だよ。認証局を監査する第三者機関の運用などに関する文書は、監査を行う側の業務や手順を対象とする。CPSが規定するのは第三者機関の監査運用ではなく、認証局自身が行う認証業務の運用や手続である。

学習のポイント

CPSと、証明書所有者や監査機関が作成する文書との役割の違いを整理する。