令和3年度秋期 情報処理安全確保支援士 午前Ⅱ 問7

午前II 問07：FIPS 140-3は「暗号モジュールの安全チェック基準」だよ

FIPS PUB 140-3 は、暗号を扱う部品や仕組み、つまり暗号モジュールが安全に作られているかを確認するための標準だよ。たとえるなら、金庫そのものがちゃんと頑丈か、鍵の仕組みが安全かをチェックする検査基準みたいなもの。暗号機能を実装した製品やモジュールを評価するときに使われるんだ。

この問題で問われていること

この問題では、FIPS 140-3 が何のための標準かを見分けよう。ISMSは組織の情報セキュリティ管理、証明書仕様は電子証明書のルール、無線LAN仕様はWi-Fiまわりの規格だよ。FIPS 140-3 はそれらではなく、暗号モジュールのセキュリティ要求事項を定めた標準、と押さえよう。

FIPS 140-3

対象は暗号ライブラリや HSM などの暗号機能実装であり、管理制度や通信規格ではありません。

対象: 暗号モジュール\n内容: セキュリティ要求事項

確認ポイント

• ISMS 要求事項ではありません。
• X.509 や無線 LAN セキュリティ仕様でもない。
• 暗号モジュールのセキュリティ要求事項を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。FIPS PUB 140-3は、暗号処理をする部品や装置が安全に作られているかを決める要求事項なんだ。たとえるなら、金庫の鍵そのものが簡単に壊されたり、秘密の番号が漏れたりしない作りかをチェックする基準だよ。

選択肢イ

これは不正解だよ。情報セキュリティマネジメントシステムは、会社全体でセキュリティをどう管理するかというルール作りの話。たとえるなら、会社の戸締まり当番表や管理ルールだね。FIPS PUB 140-3は、暗号を扱う部品や装置の安全条件を見る規格なので違うよ。

選択肢ウ

これは不正解だよ。ディジタル証明書や証明書失効リストは、ネット上の身分証明書と『この身分証はもう使えませんリスト』みたいなもの。これは主にX.509の話で、FIPS PUB 140-3が見ている『暗号装置そのものが安全に作られているか』とは別分野だよ。

選択肢エ

これは不正解だよ。無線LANセキュリティは、Wi-Fiに勝手に入られないようにする鍵や通信方式の話。家のWi-Fiの合鍵管理みたいなイメージだね。FIPS PUB 140-3はWi-Fiそのものの規格ではなく、暗号モジュールの安全性を決める規格だよ。