令和5年度 秋期 システム監査技術者試験 午前Ⅱ 問17
テクノロジ／セキュリティ公開鍵基盤における CPS（Certification Practice Statement）に該当するものはどれか。
出典：令和5年度 秋期 システム監査技術者試験 午前Ⅱ 問17
- ア認証局が発行するデジタル証明書の所有者が策定したセキュリティ宣言
- イ認証局でのデジタル証明書発行手続を代行する事業者が策定したセキュリティ宣言
- ウ認証局の認証業務の運用などに関する詳細を規定した文書
- エ認証局を監査する第三者機関の運用などに関する詳細を規定した文書
正解：ウ
解説
CPS（Certification Practice Statement，認証実施規程・認証局運用規程）は，認証局が自らの認証業務をどのように運用するかを詳細に規定した文書です。デジタル証明書の申請受付や本人確認の方法，発行・更新・失効の手続，鍵の管理方法，設備や要員の管理など，運用の実務が記載されます。これに対し，証明書の利用目的や適用範囲といった方針レベルを定めた文書は CP（Certificate Policy，証明書ポリシー）と呼ばれ，両者は区別されます。
選択肢ごとの解説
- ア誤り。CPS は認証局自身が策定する文書であり，発行されたデジタル証明書の所有者（利用者）が策定するものではありません。
- イ誤り。証明書発行手続を代行する登録局などの事業者が策定する宣言ではなく，認証局自身の認証業務の運用を規定した文書です。
- ウ正しい。CPS は，認証局における証明書の発行や失効といった認証業務の運用などに関する詳細を規定した文書です。
- エ誤り。認証局を監査する第三者機関の運用を規定した文書ではありません。CPS は監査される側である認証局が定めるものです。