平成29年度春期 情報処理安全確保支援士 午前Ⅱ 問7

午前II 問07

FIPS PUB 140-2 は、ISMS の認証ルールや証明書の書き方を決めるものではなく、暗号を処理する部品である「暗号モジュール」が守るべきセキュリティ要件を定めた基準だよ。たとえるなら、金庫そのものがちゃんと安全に作られているかをチェックするための基準、というイメージで押さえよう。

この問題で問われていること

この問題では、FIPS 140-2 が対象にしているのは組織の管理体制や電子証明書ではなく、「暗号モジュール」だと分かっているかがポイントだよ。

FIPS PUB 140-2

FIPS PUB 140-2 specifies security requirements for cryptographic modules

cryptographic module\nsecurity requirements\nnot ISMS certification\nnot certificate syntax

確認ポイント

• 対象は暗号モジュール。
• 規格名と対象を結び付ける。
• ISMS や PKI 仕様と混同しない。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。FIPS PUB 140-2は、暗号を扱う部品やソフトウェアがちゃんと安全に作られているかを見るための基準なんだ。たとえるなら、金庫そのものに「この厚さ・この鍵・この壊されにくさが必要だよ」と決めている検査ルールみたいなものだよ。

選択肢イ

これは不正解だよ。情報セキュリティマネジメントシステムの認証基準は、会社全体で情報をどう守るかという運用ルールの話で、ISO/IEC 27001などが関係するよ。FIPS PUB 140-2は会社の窓口対応や管理体制ではなく、暗号という“金庫の部品”の安全性を見る基準なんだ。

選択肢ウ

これは不正解だよ。ディジタル証明書や証明書失効リストは、ネット上で「この人・このサーバは本物です」と示す身分証明書の仕組みで、X.509などの話だよ。FIPS PUB 140-2は身分証明書の書式ではなく、その証明書などを守るために使う暗号部品が安全かを見る基準なんだ。

選択肢エ

これは不正解だよ。無線LANセキュリティは、Wi-Fiに勝手に入られないようにする鍵や認証の仕組みで、IEEE 802.11iやWPA/WPA2などの話だよ。FIPS PUB 140-2はWi-Fiの入口ルールではなく、暗号を処理する“鍵箱”自体の安全基準なんだ。