令和7年度春期 情報処理安全確保支援士 午前Ⅱ 問9

証明書を発行する会社（認証局）の「業務マニュアル（運用手順書）」

CPS（認証局業務運用規定）は、電子証明書を発行する会社（CA）が、「私たちはどんな審査をして、どんな手順で証明書を発行・管理しているか」を具体的に細かく定めて公開した、いわばオフィシャルな業務マニュアルだよ。

この問題で問われていること

認証局のルールブックである「CP（証明書ポリシー）」と、そのルールを具体的にどう実行するかを書いた「CPS（運用規定）」の役割の違いを整理しよう。

CPS

CPS は認証局の実運用手順や管理方針の詳細文書です。

認証局業務運用\n-> 詳細規定\n= CPS

確認ポイント

• 証明書所有者の宣言ではありません。
• 監査機関の運用文書でもない。
• 認証局の運用詳細文書を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。デジタル証明書の所有者は、証明書を使う人や会社のこと。CPSはその利用者が作る『セキュリティ宣言』ではないよ。たとえると、合鍵を受け取るお客さんの約束書ではなく、合鍵屋さん側の作業ルールなんだ。

選択肢イ

これは不正解だよ。証明書発行の手続を代行する事業者は、申請受付や本人確認を手伝う窓口のような立場だよ。CPSはその窓口業者の宣言ではなく、認証局が証明書を安全に発行・管理するための詳しい運用ルールなんだ。

選択肢ウ（正解）

これは正解だよ。CPSは、認証局が『証明書をどうやって発行し、どう管理し、どう失効させるか』を細かく書いた運用マニュアルなんだ。たとえると、合鍵屋さんが『本人確認はこうする、鍵の保管はこうする』と店のルールをまとめた文書だよ。

選択肢エ

これは不正解だよ。第三者機関は、認証局がちゃんとルールどおり運用しているかをチェックする立場なんだ。たとえると、保健所が飲食店を検査するようなもの。CPSは検査する側のマニュアルではなく、認証局自身の運用ルールだよ。