情報セキュリティマネジメント 2017年 秋期 午前（科目A） 問04

暗号技術の評価・監視【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文で問われている組織名（CRYPTREC）が「暗号」に関係することを確認する。
2. 各選択肢がどのような役割を示すかをざっと分類する（輸出許可／製品認証／暗号評価／攻撃監視）。
3. CRYPTRECの役割を知っているか、または選択肢と比較して妥当性を検討する。
   • 暗号の「評価・推奨」を行うのがCRYPTRECであることを思い出す。
4. それ以外（輸出許可は政府の輸出管理、製品のセキュリティ認証は別の評価制度、攻撃監視はCSIRT等）が担当することから、ウを選ぶ。

選択肢別の誤答解説

• ア: 外国為替及び外国貿易法で規制されている暗号装置の輸出許可申請を審査、承認する。
  → 輸出管理（輸出許可）は経済産業省（METI）などが管轄する行政的な手続きで、CRYPTRECの役割ではありません。CRYPTRECは評価・推奨が目的であって、許認可を行う機関ではありません。
• イ: 政府調達においてIT関連製品のセキュリティ機能の適切性を評価、認証する。
  → 製品のセキュリティ評価や認証（例：Common Criteria（ISO/IEC 15408）など）は別の枠組みや認証機関が行います。CRYPTRECは「暗号技術そのもの」の安全性評価と推奨に注力しますが、製品の総合的評価や認証業務を行う認証機関ではありません。
• ウ: 電子政府での利用を推奨する暗号技術の安全性を評価、監視する。
  → これが正答。暗号アルゴリズムの安全性評価、推奨リストの作成・更新、脆弱性情報の監視などが主な活動です。
• エ: 民間企業のサーバに対するセキュリティ攻撃を監視、検知する。
  → 攻撃の監視・検知やインシデント対応はCSIRT（Computer Security Incident Response Team：コンピュータセキュリティインシデント対応チーム）などの役割です。CRYPTRECは攻撃の監視ではなく、暗号技術の評価を行います。

よくある誤解

1. CRYPTRECは「暗号製品を認証する機関」だと思う誤解
   • 実際は暗号方式（アルゴリズムやプロトコル）の評価・推奨が主で、製品の認証業務とは役割が異なります。
2. CRYPTRECの勧告は法律で義務化されていると思い込む誤解
   • CRYPTRECの推奨は主に運用上のガイドラインや参考情報で、直接の法的強制力は通常ありません。ただし、政府調達やシステム設計で準拠が求められることはあります。
3. 暗号の選定は一度決めれば永続すると思う誤解
   • 暗号技術は研究の進展や計算能力の向上で安全性が変わります。CRYPTRECは常に監視・見直しを行い、推奨の変更があり得ます。

補足コラム

• システム発注やソフト選定の際、暗号ライブラリやプロトコルがCRYPTRECの推奨リストにあるかを確認します。例えば、ファイル暗号化や通信のSSL/TLSで使うアルゴリズムが非推奨になっていないか、メーカーに確認を求めるのが現実的な運用です。
• 既存システムで古い暗号を使っている場合は、リスクを説明して更新計画（マイグレーション）を求めるとよいでしょう。情報システム部門が無ければ、外部ベンダーにCRYPTREC推奨の適用を依頼する形が一般的です。

FAQ