令和6年度秋期 システム監査技術者 午前Ⅱ 問17

公開鍵証明書の役割を整理する視点

公開鍵証明書に関する文書を読むときは、個々の記述を暗記せず、誰が何を確認し、どの場面で何を参照するための文書なのかという役割の分担と関係に注目します。

この問題で問われていること

判断の中心を、文書に書かれた内容そのものではなく、証明書の利用や管理に関わる主体・目的・確認のタイミングの関係へ置き、説明の対象範囲と責任の境界を整理してください。

視点

文書の役割は、対象となる利用者や管理者、扱う情報、利用や更新などの場面、確認すべき責任の境界を分けて捉えると整理しやすくなります。

確認ポイント

• その文書が主に扱う対象と、想定している読み手を区別する
• 利用、確認、管理などのどの場面に関する説明かを見定める
• 文書の目的と責任範囲が、他の説明と混同されていないか確認する

正解

ウ

解説

CPSは、認証局が証明書を発行・管理・失効・更新する際の運用方法や手続きを定める文書です。したがって、認証局の運用についての規定を示すウが正しい。

理由

CPS（Certification Practice Statement）は、認証局が証明書を発行、管理、失効、更新する場合などに、どのような運用を行うかを定める文書です。設問では、この説明に該当する記述を選ぶ。

比較

監査ログは過去の活動記録、失効した証明書のリストは失効情報、検証結果報告書は運用の適切性を調査した結果です。これらは運用手順や規定そのものを示すCPSとは役割が異なる。

選択肢ア

これは不正解だよ。認証局が過去1年間に生成した監査ログの内容は、実際に行われた活動を後から確認するための記録である。CPSは監査後のログではなく、証明書の発行や管理などをどのように運用するかを定める文書なので、この記述は該当しない。

選択肢イ

これは不正解だよ。認証局が公開する失効した証明書のリストは、現在利用できない証明書を示す失効情報である。CPSは失効済み証明書の一覧を示すものではなく、認証局が証明書を発行・管理・失効・更新する際の運用を定める文書である。

選択肢ウ（正解）

これは正解だよ。CPSは、認証局が証明書を発行、管理、失効、更新する際などの運用について定める文書である。提示された記述は、認証局の実務上の手続や運用規定を説明しており、X.509におけるCPSの定義に合致する。

選択肢エ

これは不正解だよ。認証局の運用の適切性を検証した検証結果報告書は、実施した検証の結果をまとめた文書である。CPSは検証後の評価報告書ではなく、証明書を扱う認証局が従う運用方法や手続きを定める規定である。

学習のポイント

CPSと、監査ログ・失効リスト・検証結果報告書の役割を区別して覚える。