平成30年度秋期 情報処理安全確保支援士 午前Ⅱ 問5

午前II 問05

FIPS PUB 140-2 は、暗号を処理する部品である「暗号モジュール」が、どれくらい安全に作られているべきかを決めた標準だよ。たとえるなら、金庫そのものの頑丈さや鍵の仕組みをチェックするルールみたいなもの。会社全体の情報セキュリティ管理ルールである ISMS や、電子証明書の形式を決める PKI の仕様とは別物だよ。

この問題で問われていること

この問題では、FIPS 140-2 が「組織の管理制度」や「証明書の仕様」ではなく、暗号処理を行うモジュールそのものの安全性を評価する標準だと分かっているかを確認しているよ。

FIPS 140-2

暗号ライブラリや HSM などの暗号機能実装を、物理面や運用面も含めて評価するのが FIPS 140-2 です。

対象: 暗号モジュール\n内容: セキュリティ要求事項

確認ポイント

• ISMS 要求事項なら ISO/IEC 27001 を疑う。
• 証明書や CRL 仕様なら X.509 系を疑う。
• 暗号モジュールの要求事項を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これが正解だよ。FIPS PUB 140-2は、暗号モジュール、つまりデータを暗号化したり復号したりする“鍵付き金庫の部品”に求める安全基準なんだ。金庫の鍵穴や扉がちゃんと強いかを検査するルール、と思うと分かりやすいよ。

選択肢イ

これは不正解だよ。情報セキュリティマネジメントシステムは、会社全体で情報をどう守るかという“防犯マニュアル”の話で、ISO/IEC 27001などが関係するよ。FIPS PUB 140-2は会社の運用ルールではなく、暗号を扱う部品そのものの安全基準なんだ。

選択肢ウ

これは不正解だよ。ディジタル証明書や証明書失効リストの仕様は、本人確認書類や無効になった会員証リストのような仕組みで、X.509などが関係するよ。無線LANセキュリティならWPA/WPA2などの話だね。FIPS PUB 140-2はそこではなく、暗号モジュールという“金庫の中身の仕組み”を評価する基準だよ。

選択肢エ

これはFIPS PUB 140-2の説明ではないよ。FIPS PUB 140-2は「暗号を扱う部品やソフトが安全に作られているか」を見る基準なんだ。たとえるなら、家全体の防犯ルールではなく、金庫そのものが壊されにくいかをチェックする基準だよ。