平成22年度秋期 情報処理安全確保支援士 午前Ⅱ 問3

暗号化を行うICチップや基板が、どれくらい頑丈で安全かを評価する米国の規格（FIPS 140-2）

セキュリティの規格「FIPS 140-2」についての問題だよ。これは、ハードウェアやソフトウェアで暗号処理を行う部品（暗号モジュール）が、物理的・論理的にどれだけ安全に作られているかをテストするための米国政府の規格なんだ。例えば「無理やりICチップを分解しようとしたら、自動で中の鍵データが消去されるか」といった非常に厳しいセキュリティ要件がレベル別に定められているよ。

この問題で問われていること

組織全体の管理体制を評価する「ISMS」や無線の暗号化方式（WPA等）と区別して、「暗号モジュール（ICチップやソフトウェア等）自体のセキュリティ要件や堅牢性を評価する規格」としてFIPS 140-2を識別しよう。

FIPS 140-2 の対象

暗号アルゴリズムそのものではなく、それを実装したモジュール全体について、鍵管理や自己診断などの要件を定めるのが FIPS 140-2 です。

対象: 暗号モジュール\n要求: 鍵管理 / 自己診断 / 物理保護など

確認ポイント

• ISMS の認証基準ではありません。
• X.509 証明書や CRL の仕様でもありません。
• 暗号モジュールの要求事項を選びます。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。FIPS 140-2は、暗号を扱う部品がちゃんと安全に作られているかを見るための基準なんだ。たとえるなら、金庫そのものが壊されにくいか、鍵の管理がちゃんとしているかをチェックするルールだよ。

選択肢イ

これは間違いだよ。情報セキュリティマネジメントシステム、つまり会社全体の情報管理の仕組みを見る基準はISO/IEC 27001などの話だよ。これは金庫の性能ではなく、会社の窓口や鍵の管理ルール全体を点検するイメージだね。

選択肢ウ

これは間違いだよ。ディジタル証明書や証明書失効リストの標準仕様はX.509の話だよ。たとえるなら、身分証明書の書式や『この証明書はもう使えません』というリストの形式を決めるルールで、暗号部品そのものの安全基準ではないよ。

選択肢エ

これは間違いだよ。無線LANセキュリティ技術はWPAやIEEE 802.11iなどの話だよ。これは家のWi-Fiに入るための鍵や合言葉の仕組みであって、暗号モジュールという部品の安全性を評価する基準ではないんだ。