令和2年度10月 情報処理安全確保支援士 午前Ⅱ 問8

午前II 問08：CRYPTRECって何をするプロジェクト？

CRYPTRECは、電子政府などで使う暗号技術について、「この暗号は安全に使えそうかな？」「実装したときの性能はどうかな？」「運用上の問題はないかな？」とチェックするプロジェクトだよ。たとえるなら、政府で使う鍵や金庫の候補を、専門家チームが安全性や使いやすさの面から検査しているイメージだね。

この問題で問われていること

この問題では、CRYPTRECをほかの組織や制度と取り違えないことがポイントだよ。政策を作る組織、ISMSの認証制度、暗号モジュールの試験機関ではなく、暗号技術そのものを技術的に検討・評価するプロジェクトがCRYPTRECだと押さえよう。

CRYPTREC の活動

暗号アルゴリズムそのものの安全性だけでなく、実装や運用も含めて電子政府で参照すべき暗号を検討する。

暗号技術の技術的検討\n+ 安全性 / 実装 / 運用面の検討

確認ポイント

• 政府の情報セキュリティ政策立案組織ではありません。
• ISMS 認証制度の運用主体でもない。
• 暗号技術の技術的検討と安全性・実装運用面評価を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。CRYPTRECは、暗号技術が安全に使えるかを技術的に調べたり、実際の運用で安全に使うにはどうするかを検討したりする活動なんだ。たとえるなら、いろいろな鍵の強さを専門家が試して「この鍵なら今のところ安心して使いやすいよ」と評価するチームだよ。

選択肢イ

これは不正解だよ。これは国全体のサイバーセキュリティ政策を考える組織の仕事だね。たとえるなら、町全体の防犯ルールや警備方針を決める役所のような役割で、個々の暗号という鍵の強さを評価するCRYPTRECの主な活動とは違うよ。

選択肢ウ

これは不正解だよ。これは会社や組織の情報セキュリティの管理体制をチェックして認証する制度の話だね。たとえるなら、お店の防犯ルール全体を審査して「この店は管理がしっかりしています」と証明する窓口の仕事で、暗号技術そのものを調べるCRYPTRECの説明ではないよ。

選択肢エ

これは不正解だよ。これは暗号モジュール、つまり暗号機能をもつ部品や装置を試験するJCMVPなどの評価試験の話だね。たとえるなら、特定の金庫や鍵製品を検査機器でテストする作業で、暗号技術全般を調査・評価するCRYPTRECの説明ではないよ。