令和5年度秋期 システム監査技術者 午前Ⅱ 問17

運用文書の役割を読む視点

運用文書の役割を整理するときは、個別の記述を暗記するのではなく、誰が、どの場面で、何を判断・実施するための情報なのかという観点に絞り、文書同士の関係を落ち着いて読み進めます。

この問題で問われていること

各文書が担う責任や利用場面の違いに注目し、作業の手順、判断の基準、責任分担、記録や見直しとの関係を切り分けて、設問中の説明と対応づけ、役割の整合性を確認してください。

視点

文書の名称や表面的な表現だけで判断せず、運用のどの局面を支える情報として整理されているかに着目します。

確認ポイント

• 文書を利用する主体と想定される場面を確認する
• 記載内容が手順、判断基準、責任分担のどれに関係するか整理する
• 運用時の参照、記録、更新のつながりを読み取る

正解

ウ

解説

CPS（Certification Practice Statement）は、公開鍵基盤において認証局がどのような認証業務を、どの手続や運用で実施するかを詳細に規定した文書です。したがって、認証局の認証業務の運用などを定めるウが該当する。

理由

CPSは、認証局が証明書の発行などの認証業務を適切に運用するための詳細な実務や手続を規定する。単なるセキュリティ上の宣言ではなく、認証サービスの実施内容を具体化する点が重要です。

比較

証明書の所有者や発行手続の代行事業者が策定する宣言、または認証局を監査する第三者機関の運用規定は、認証局自身の認証業務の運用を定めるCPSとは対象が異なる。

選択肢ア

これは不正解だよ。これは認証局が発行するデジタル証明書の所有者が策定したセキュリティ宣言であり、証明書を利用・所有する側の表明に当たる。CPSは証明書所有者の宣言ではなく、公開鍵基盤で認証サービスを運用するための具体的な業務や手続を規定する文書である。

選択肢イ

これは不正解だよ。これは認証局でのデジタル証明書発行手続を代行する事業者が策定したセキュリティ宣言である。発行手続の代行者による宣言は、認証局が実施する認証業務全体の運用を詳細に規定するCPSとは、作成主体と文書の対象が異なる。

選択肢ウ（正解）

これは正解だよ。CPSは、公開鍵基盤において認証局が証明書を発行するなどの認証業務を、どのような手続や運用で行うかを詳細に規定した文書である。選択肢はCPSの対象である認証局の業務運用を正しく説明している。

選択肢エ

これは不正解だよ。これは認証局を監査する第三者機関の運用などに関する詳細を規定した文書である。監査機関の活動や運用を定めることは、認証局自身が証明書発行などの認証業務を実施するための手続を規定するCPSとは対象が異なる。

学習のポイント

CPSは証明書の所有者の宣言ではなく、認証局の認証業務に関する運用・手続を定める文書として理解する。