令和7年度秋期 システム監査技術者 午前Ⅰ 問13

役割の切り分けに注目する

この分野では、登場する仕組みが何を保証し、誰がその保証を確認し、どの情報を扱うのかを分けて考えると、選択肢の主張を落ち着いて比較しやすくなります。まず役割の境界を整理しましょう。

この問題で問われていること

一つの仕組みに複数の役割を重ねず、送る情報への関係、確認する主体、信頼の根拠という観点を同じ順序で見比べ、説明がどの役割を述べているかだけを確認してください。

視点

技術名や用語を単独で覚えるのではなく、それぞれが担う役割、関係する対象、確認される内容を切り分けて整理しましょう。説明の主語と対象を対応させることが、混同を避ける手がかりになります。

確認ポイント

• 説明の主語と対象が対応しているか確認する
• 保証される内容と確認する主体を分けて読む
• 異なる役割を一つの説明に混同していないか見る

正解

ウ

解説

デジタル署名付きソフトウェアの発行元を確認するには、ソフトウェアの署名検証を目的とした証明書を用いる。コードサイニング証明書は、プログラムの作成者や発行元を確認し、改ざんの検出にも役立つ。

理由

コードサイニング証明書は、実行ファイルやソフトウェアに付与されたデジタル署名を検証するための証明書です。署名者の確認や、署名後にソフトウェアが改ざんされていないことの確認に利用されるため、設問の目的に合致する。

比較

EV SSL証明書やサーバ証明書は主にWebサイトやサーバとの通信に関する認証、クライアント証明書は利用者や端末の認証に用いられる。いずれも、配布ソフトウェアの署名者を確認する用途とは異なる。

選択肢ア

これは不正解だよ。EV SSL証明書は、Webサイトの運営者確認や、Webブラウザとサーバ間の暗号化通信に関係する証明書である。ソフトウェアに付与されたデジタル署名を検証して、プログラムの発行元を確認する目的の証明書ではない。

選択肢イ

これは不正解だよ。クライアント証明書は、利用者や端末などのクライアントを識別し、サーバへの接続時に本人性を確認するために使われる。インストールするソフトウェアの署名者や発行元を確認する用途とは対象が異なる。

選択肢ウ（正解）

これは正解だよ。コードサイニング証明書は、実行ファイルなどのソフトウェアに付けられたデジタル署名を検証するために使われる。署名した発行元を確認でき、署名後の改ざん検出にも役立つため、設問の目的に適している。

選択肢エ

これは不正解だよ。サーバ証明書は、接続先サーバの正当性を確認したり、サーバとの通信を暗号化したりするために利用される。インストール対象のソフトウェアに付されたデジタル署名から発行元を確認する証明書ではない。

学習のポイント

証明書は名称を暗記せず、認証対象と利用目的の組合せで区別する。