平成28年度 春期 システム監査技術者試験 午前Ⅱ 問19
テクノロジ／セキュリティCRYPTRECの役割として，適切なものはどれか。
出典：平成28年度 春期 システム監査技術者試験 午前Ⅱ 問19
- ア外国為替及び外国貿易法で規制されている暗号装置の輸出を審査，検査する。
- イ政府調達においてIT関連製品のセキュリティ機能の適切性を評価，認証する。
- ウ電子政府での利用を推奨する暗号技術の安全性を評価，監視する。
- エ民間企業のサーバに対するセキュリティ攻撃を監視，検知する。
正解：ウ
解説
CRYPTREC（Cryptography Research and Evaluation Committees）は，電子政府での利用を推奨する暗号技術（電子政府推奨暗号リスト）の安全性及び実装性を評価・監視することを役割とする組織である。暗号装置の輸出審査・検査は外国為替及び外国貿易法に基づく経済産業省の役割，政府調達におけるIT関連製品のセキュリティ機能の評価・認証はIT セキュリティ評価及び認証制度（JISEC）の役割，民間企業のサーバに対するセキュリティ攻撃の監視・検知は各企業のCSIRTやセキュリティベンダの役割であり，いずれもCRYPTRECの役割ではない。
選択肢ごとの解説
- ア誤り。外国為替及び外国貿易法で規制されている暗号装置の輸出の審査・検査は，経済産業省などが所管する役割であり，CRYPTRECの役割ではありません。
- イ誤り。政府調達においてIT関連製品のセキュリティ機能の適切性を評価，認証することは，ITセキュリティ評価及び認証制度（JISEC）の役割であり，CRYPTRECの役割ではありません。
- ウ正しい。電子政府での利用を推奨する暗号技術の安全性を評価，監視することが，CRYPTRECの役割です。
- エ誤り。民間企業のサーバに対するセキュリティ攻撃を監視，検知することは，各企業のCSIRTやセキュリティベンダなどの役割であり，CRYPTRECの役割ではありません。