令和6年度春期 情報処理安全確保支援士 午前Ⅱ 問10

FIPS 140-3は何を守るための標準？

FIPS 140-3は、暗号化を担当する部品である「暗号モジュール」に対して、どれくらい安全に作られているべきかを決めた標準だよ。会社全体の情報セキュリティ管理のルールでも、電子証明書そのものの仕様でもない点に注意しよう。

この問題で問われていること

この問題は、セキュリティ関連の標準がそれぞれ何を対象にしているのかを見分ける問題だよ。たとえば、建物全体の管理ルールなのか、鍵そのものの安全基準なのか、身分証の形式なのかを区別するイメージで整理しよう。

FIPS 140-3

暗号ライブラリや HSM などの安全性要件を定める。

暗号モジュール\n-> セキュリティ要求事項

確認ポイント

• ISMS 要求事項は ISO/IEC 27001 です。
• 証明書仕様は X.509/RFC 5280 系です。
• 暗号モジュール要求事項を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。FIPS PUB 140-3は、暗号を扱う部品やソフトがちゃんと安全に作られているかを確認するための基準なんだ。たとえるなら、金庫そのものが壊されにくいか、鍵の管理が甘くないかをチェックする検査基準だね。だから『暗号モジュールのセキュリティ要求事項』がぴったりだよ。

選択肢イ

これは不正解だよ。情報セキュリティマネジメントシステムは、会社全体で情報をどう守るかという運用ルールの話で、たとえるならビル全体の防犯マニュアルだね。これはISO/IEC 27001の分野で、FIPS PUB 140-3が見る暗号モジュール単体の安全性とは別物だよ。

選択肢ウ

これは不正解だよ。デジタル証明書や証明書失効リストは、ネット上の身分証明書や『この身分証はもう無効です』というリストの仕様だよ。たとえるなら窓口で本人確認する証明書のルールで、これはX.509の分野。FIPS PUB 140-3の暗号装置の安全基準とは違うよ。

選択肢エ

これは不正解だよ。無線LANセキュリティは、家のWi-Fiに鍵をかけるルールみたいな話で、WPAやIEEE 802.11iなどの分野だよ。FIPS PUB 140-3はWi-Fi全体の守り方ではなく、暗号を処理する部品そのものが安全かを見る基準なんだ。