情報セキュリティマネジメント 2019年 春期 午前（科目A） 問03

暗号技術の安全性評価【情報セキュリティマネジメント解説】

正解の理由

• CRYPTRECは「どの暗号方式が安全か」を評価して推奨リストを作る組織・活動です。
• 暗号の輸出許可（選択肢ア）は政府の輸出管理（経済産業省＝METIが担当）による別業務です。
• 製品のセキュリティ機能の形式的な認証（選択肢イ）は Common Criteria（CC：国際的なIT製品評価基準）など別の評価枠組みが関係します。
• サーバ攻撃の監視（選択肢エ）は CSIRT（Computer Security Incident Response Team：インシデント対応チーム）やJPCERT/CC の仕事です。

解法ステップ

1. 問題のキーワードを探す：「暗号」「電子政府」「評価」「監視」など。
2. CRYPTRECの主目的を知っているかを確認する：暗号技術の評価・推奨であること。
3. 各選択肢を、どの組織や仕組みが通常担当するかで照合する。
   • 輸出管理 → 経済産業省（METI）や貿易管理の領域。
   • 製品のセキュリティ認証 → Common Criteria 等の評価スキーム。
   • 攻撃監視 → CSIRT/JPCERT 等のインシデント対応組織。
4. 暗号技術の安全性評価を説明する選択肢（ウ）を選ぶ。

選択肢別の誤答解説

• ア：外国為替及び外国貿易法による暗号装置の輸出許可申請の審査・承認
  • 誤り。輸出管理は経済産業省（METI：Ministry of Economy, Trade and Industry）や関連部署の仕事です。CRYPTRECは技術評価を行うもので、法的な許認可手続きは担当しません。
• イ：政府調達におけるIT製品のセキュリティ機能を評価・認証
  • 誤り。IT製品のセキュリティ評価・認証には Common Criteria（CC：国際的なIT製品のセキュリティ評価基準）などの制度が関わります。CRYPTRECは暗号アルゴリズムそのものの安全性評価と推奨が中心で、製品認証制度そのものを運営するわけではありません。
• ウ：電子政府での利用を推奨する暗号技術の安全性を評価・監視
  • 正しい。CRYPTRECは暗号アルゴリズムや暗号プロトコルの安全性を評価し、推奨リストを作成して電子政府などでの利用を促します。推奨リストは実務の暗号選定で参照されます。
• エ：民間企業のサーバに対するセキュリティ攻撃を監視・検知
  • 誤り。攻撃の監視・検知は CSIRT（Computer Security Incident Response Team：インシデント対応チーム）やJPCERT/CC（Japan Computer Emergency Response Team Coordination Center：インシデント連携団体）などの仕事で、CRYPTRECの役割ではありません。

よくある誤解

• 「CRYPTRECは暗号製品の認証機関だ」
  • 誤解です。製品そのものを認証するのではなく、暗号方式やアルゴリズムの安全性評価と推奨が主目的です。
• 「攻撃監視やインシデント対応もやっている」
  • CRYPTRECは攻撃監視を業務にしていません。インシデント対応はCSIRTやJPCERT/CCの領域です。
• 「CRYPTRECの推奨は法的に強制される」
  • 推奨は指針であり、法的強制力は原則ありません。ただし、政府調達や基準で参照されることが多く、実務上の事実上の基準になる場合があります。

補足コラム

• 社内のパスワード管理や通信の暗号化方式を決める際、CRYPTRECの推奨リストを参照して「AES」「SHA-2」「RSA」「ECC」などの方式を採用することが多いです。
• もし推奨から外れた古い暗号（例：MD5やRC4）を使っていれば、更新計画を立てるきっかけになります。

• Common Criteria（CC）は製品レベルのセキュリティ評価基準。製品認証が目的。
• CSIRT/JPCERT/CC は攻撃検知・インシデント対応。
  これらと役割を混同しないことが重要です。

FAQ